Se rendre au contenu

Failles des logiciels de santé : que demande le CERT Santé aux établissements ?

12 octobre 2026 par

Certaines failles des logiciels de santé auraient été introduites en connaissance de cause, pour faciliter le travail entre professionnels, selon l'article de What's up Doc consacré au rapport du CERT Santé. L'enfer est pavé de bonnes intentions. Nous avons lu avec intérêt cet article, puis la page de présentation du rapport du CERT-FR, publié le 2 octobre 2026 sous la référence CERTFR-2026-CTI-007. Ce détail nous a frappés, le rapport visant d'abord les éditeurs. Une partie du document s'adresse pourtant aux établissements, et elle mérite d'être lue en CODIR.

Que contient le rapport du CERT Santé et du CERT-FR ?

Intitulé « Vulnérabilités de produits du secteur santé : retour d'expérience du CERT Santé et du CERT-FR », le document s'appuie sur des cas réels anonymisés. Il fait état de vulnérabilités critiques, facilement exploitables, dans plusieurs solutions numériques utilisées par des structures de santé. Leur exploitation pourrait toucher la confidentialité des données, la continuité des soins et la sécurité des patients. Un logiciel très répandu peut exposer simultanément de nombreuses structures à la même faille. Le CERT juge les pratiques des éditeurs insuffisantes au regard de la menace, malgré une transparence croissante de beaucoup d'entre eux.

Selon l'article de What's up Doc, dans un cas, le dernier correctif d'une faille de gravité moyenne a été planifié cinq ans après son signalement. L'analyse publiée par Leto le 7 octobre, qui détaille le rapport, relève quatre familles de défauts : des délais de correction longs, une gestion défaillante des identifiants et des secrets, des injections de code et des contrôles d'accès insuffisants. Elle cite aussi des chiffres que nous n'avons pas pu vérifier dans le PDF : 82 % des établissements interrogés ont eu connaissance de vulnérabilités sur leur système en douze mois, et 90 % n'ont pas de canal formalisé pour les remonter à l'éditeur.

Que peut faire un établissement dès maintenant ?

Selon What's up Doc, appliquer les correctifs disponibles et remplacer les identifiants laissés par défaut sont deux gestes à la portée de l'établissement seul. Leto ajoute de vérifier qu'aucun accès distant n'est ouvert sans authentification robuste.

L'analyse de Leto propose aussi des gestes de pilotage : recenser les logiciels qui traitent des données de santé avec leur éditeur, leur version et leur dernier correctif ; demander aux éditeurs s'ils publient les correctifs de sécurité séparément des évolutions fonctionnelles ; inscrire dans le contrat un canal de remontée des vulnérabilités et le vérifier lors des audits ; mettre en place une détection des accès inhabituels ou massifs aux données sensibles. Le même texte précise que l'article 14 du Cyber Resilience Act, qui impose de déclarer les vulnérabilités exploitées, s'applique depuis le 11 septembre 2026. Ces points relèvent du CODIR autant que de la DSI.

Pourquoi l'hygiène numérique des agents reste-t-elle décisive ?

Parce que les failles sont souvent exploitées après le piratage du compte d'un professionnel. D'après What's up Doc, hameçonnage et mots de passe réutilisés ouvrent la voie. L'analyse de Leto va dans le même sens : un défaut de contrôle d'accès permet à un utilisateur légitime de consulter les données d'autres utilisateurs, et ce type de faille est actuellement exploité, surtout sur des services en ligne, après la compromission d'un compte de professionnel de santé.

Sur ce terrain, chaque équipe peut agir dès maintenant, sans attendre le prochain correctif de l'éditeur. Un agent qui reconnaît un message d'hameçonnage, qui utilise un mot de passe propre à chaque outil et qui sait à qui signaler une anomalie réduit directement la surface d'attaque. Une question pour finir : dans votre établissement, à qui un agent signale-t-il aujourd'hui une faille repérée dans un logiciel, et comment ?

Quelle formation ARCADIA pour ces gestes du quotidien ?

Chez ARCADIA, notre formation « Cybersécurité et hygiène numérique en établissements de santé » (7 heures) porte sur ces gestes du quotidien. Elle s'adresse aux professionnels des établissements de santé et se déroule en présentiel, en intra dans votre établissement ou en inter, sans prérequis technique.

Les ateliers travaillent sur des documents non nominatifs et chaque session produit un livrable à emporter. Le financement s'inscrit dans le plan de formation de l'établissement, avec l'OPCO Santé ou l'ANFH selon votre statut.

Questions fréquentes

Qu'est-ce que le CERT Santé ?

C'est le centre d'alerte et de réponse aux incidents de sécurité pour le secteur de la santé, rattaché à l'Agence du numérique en santé. Il traite les incidents signalés et les vulnérabilités, et publie un observatoire annuel des incidents.

Qui doit appliquer les correctifs de sécurité d'un logiciel de santé ?

L'éditeur publie les correctifs, et l'établissement applique ceux qui sont disponibles. Ce second volet dépend directement de l'organisation interne.

Comment signaler une faille repérée dans un logiciel ?

Selon l'analyse de Leto, la majorité des établissements interrogés n'ont pas de canal formalisé vers l'éditeur. Inscrire ce canal dans le contrat, et définir en interne à qui un agent signale une anomalie, constitue un premier pas.

Les failles dont parle le rapport concernent-elles aussi les EHPAD ?

Le rapport porte sur les produits du secteur santé utilisés par des structures de santé. Tout établissement qui utilise un logiciel traitant des données de santé peut appliquer les gestes d'hygiène décrits.

Sources

Vous voulez former vos équipes aux gestes qui protègent vos logiciels ? Consultez le programme ou prenez rendez-vous.

Dépendance numérique : qui pose les bonnes questions avant la signature d'un contrat d'IA ?