Le 27 septembre 2026, Kiteworks a levé sa recommandation d’arrêt préventif, émise deux jours plus tôt après un renseignement crédible sur une menace. Dans un communiqué du 28 septembre, l’entreprise affirme que la période de risque s’est achevée sans incident et qu’elle n’a constaté aucun signe de compromission. Elle indique aussi avoir corrigé une faille critique découverte pendant l’intervention.
Cette mise à jour change la consigne initiale : l’avis général d’arrêt n’est plus en vigueur. Toutefois, Kiteworks n’a pas publié de CVE ni de numéro de version associé au correctif de la faille nouvellement découverte. Les clients auto-hébergés concernés doivent donc vérifier leur cas auprès de l’éditeur plutôt que de supposer que la version 9.5.1 mentionnée dans l’avis initial règle aussi cette faille.
Chronologie de l’arrêt préventif
Le 25 septembre, Kiteworks a demandé aux clients qui administrent eux-mêmes leurs installations de prévoir une fenêtre d’arrêt de neuf heures. Les environnements hébergés étaient gérés par l’éditeur. TechCrunch a confirmé la consigne initiale et son caractère préventif ; aucun groupe d’attaquants ni incident confirmé n’était alors publiquement identifié.
Le 27 septembre, Kiteworks a levé la recommandation et annoncé que les systèmes pouvaient reprendre leur activité. Son avis initial indiquait que les vulnérabilités alors connues étaient corrigées dans la version 9.5.1. Ce point ne doit pas être confondu avec le correctif ultérieur décrit le 28 septembre.
La faille révélée après la reprise
Kiteworks dit avoir découvert une vulnérabilité critique jusque-là inconnue, liée à une capacité activée chez moins de 1 % de ses clients. Selon l’entreprise, un correctif a été déployé et une couche de protection supplémentaire appliquée à tous les environnements. Elle affirme n’avoir trouvé aucun indice d’exploitation de cette faille.
BleepingComputer rapporte que les clients auto-hébergés utilisant Advanced Forms doivent contacter le support Kiteworks. Ni l’éditeur ni les sources indépendantes citées ici ne publient de CVE ou de numéro de version permettant de vérifier universellement le correctif. Les détails attribués à Kiteworks restent donc des déclarations de l’entreprise, corroborées pour le suivi par plusieurs médias indépendants, mais pas par une analyse technique publique.
Ce que les clients doivent vérifier
Les clients auto-hébergés devraient recenser leurs instances, leur mode d’hébergement, les fonctionnalités activées et les versions installées. Si Advanced Forms est utilisé, contactez le support Kiteworks afin de savoir si une action supplémentaire est nécessaire et comment confirmer le déploiement du correctif.
Conservez les journaux couvrant la période de l’avis, puis examinez les connexions, créations de comptes, changements de configuration et transferts inhabituels. Kiteworks dit n’avoir observé aucune compromission ; cette déclaration ne remplace pas l’examen des journaux propres à chaque client. En cas d’anomalie, isolez l’instance concernée et préservez les preuves avant toute opération de nettoyage.
Ce que l’on sait et ce qui reste inconnu
Les éléments publiés établissent qu’un arrêt préventif a été demandé puis levé, qu’une faille critique a été corrigée et que Kiteworks dit n’avoir détecté ni exploitation ni compromission. Les sources ne révèlent pas l’identité d’un acteur, de CVE, le numéro de version contenant le correctif spécifique, ni la liste exacte des clients ayant activé la capacité concernée.
Il est donc prématuré de présenter l’événement comme une fuite de données confirmée. À l’inverse, l’absence d’incident signalé par l’éditeur ne suffit pas à certifier chaque installation : les organisations doivent suivre les indications du support et vérifier leurs propres traces.
Préparer la gestion des accès
Soclyde ne surveille pas Kiteworks et ne remplace ni les correctifs ni l’analyse de l’éditeur. Pour organiser la rotation éventuelle des secrets d’administration et d’intégration, consultez notre guide de politique de mots de passe pour PME et le guide de partage sécurisé des mots de passe en équipe. Un générateur de mots de passe sécurisé peut aider à créer des secrets uniques ; il ne constitue pas une preuve qu’un service tiers est intact.
À retenir
L’avis d’arrêt préventif de Kiteworks a été levé le 27 septembre. L’éditeur affirme avoir corrigé une faille critique liée à une capacité utilisée par moins de 1 % de ses clients, sans indice d’exploitation. Les clients auto-hébergés utilisant Advanced Forms doivent confirmer directement auprès du support que leur installation est couverte. Pour toute question sur Soclyde, contactez notre équipe.
