D-Link signale des failles non corrigées dans ses commutateurs DGS-3130

D-Link a publié des mesures d'atténuation pour plusieurs failles de sécurité non corrigées qui touchent ses commutateurs empilables Gigabit administrables de la série DGS-3130, rapporte le site américain Bleeping Computer le 6 novembre 2026. Ces modèles offrent des liaisons montantes multigigabit, qui permettent aux administrateurs réseau d'entreprise de supprimer les goulets d'étranglement de données. Ils sont conçus principalement pour les petites et moyennes entreprises et pour les déploiements Ethernet métropolitains. Aucun correctif n'existe pour l'instant : Bleeping Computer parle donc de failles « zero-day », c'est-à-dire connues avant la publication d'un correctif.¹

Le constructeur n'a pas détaillé ces failles et n'a pas encore rendu publics leurs identifiants CVE, les références qui servent à suivre une vulnérabilité. Il indique qu'elles ont été découvertes par Giresh Kumar Enugu, ingénieur réseau chez Spectrum Community Solutions. Les failles se trouvent dans trois fonctions du D-Link Discovery Protocol (DDP) : l'authentification, le contrôle d'accès et le traitement des informations.¹

D'après Bleeping Computer, les failles touchent plusieurs versions du firmware du modèle DGS-3130-30TS. D-Link cherche encore à savoir si d'autres plateformes de commutation de la marque sont concernées. Il examine aussi certains mécanismes de sécurité du firmware : la configuration de sécurité du service SSH, les protections des identifiants du système d'exploitation, le chiffrement du firmware et les clés cryptographiques intégrées. À ce stade, la liste des équipements touchés n'est donc pas arrêtée : elle pourrait s'allonger selon les conclusions de cette enquête.¹

Ce que permettrait l'exploitation des failles

« Les vulnérabilités signalées concernent le D-Link Discovery Protocol (DDP) et certains composants de l'architecture de sécurité du firmware de l'appareil », a déclaré D-Link. Le constructeur ajoute : « Selon le chercheur en sécurité, l'exploitation réussie de certaines vulnérabilités pourrait permettre à un attaquant ayant accès au réseau concerné d'obtenir des informations sensibles sur l'appareil, d'effectuer des opérations d'administration non autorisées, de modifier la configuration de l'appareil ou de perturber les services réseau. » Bleeping Computer énumère d'autres conséquences possibles : la modification non autorisée d'identifiants, la fuite des communautés SNMP, des interruptions de service et la réinitialisation des appareils.¹

Ces conséquences sont décrites par le chercheur et rapportées par D-Link. Aucun détail technique n'a été publié pour les étayer. Le constructeur parle d'un attaquant « ayant accès au réseau concerné », ce qui signifie que le risque décrit dépend d'abord de qui peut joindre ces commutateurs. En l'absence de détails et d'identifiants CVE, les administrateurs ne peuvent pas évaluer précisément leur exposition. Ils doivent s'en tenir aux consignes générales du constructeur.¹

Les consignes en attendant un nouveau firmware

Jusqu'à la sortie d'un firmware correctif, D-Link demande aux administrateurs de désactiver le DDP, qu'il présente comme le principal vecteur d'attaque connu. Il leur demande aussi de supprimer les communautés SNMP inutiles ou laissées par défaut. Enfin, l'accès à SSH, à l'interface web et à SNMP devrait être réservé aux réseaux d'administration isolés et aux postes d'administration désignés.¹

Le constructeur conseille aussi de conserver des sauvegardes hors ligne de la configuration des commutateurs. Il recommande de surveiller les journaux des appareils pour repérer les changements de configuration inattendus, les redémarrages non sollicités et les réinitialisations aux paramètres d'usine.¹

Ces mesures pèsent d'abord sur les équipes informatiques des petites et moyennes entreprises et sur les opérateurs de réseaux Ethernet métropolitains, le public visé par cette gamme. D-Link présente le DDP comme le « principal » vecteur d'attaque connu, ce qui signifie que d'autres vecteurs ne sont pas exclus. Cela vaut d'autant plus que l'enquête porte aussi sur SSH et sur les protections cryptographiques du firmware. Reste à savoir si la désactivation du DDP gêne l'exploitation des réseaux qui s'appuient sur ce protocole de découverte. Ni D-Link ni Bleeping Computer n'abordent ce point.¹

Ce n'est pas la première alerte de ce type cette année. En septembre, D-Link avait averti ses clients d'une faille zero-day de gravité maximale, suivie sous la référence CVE-2026-86296. Elle touchait d'anciens routeurs Wi-Fi bibande DIR-822A, et un code d'exploitation de démonstration avait été rendu public, sans correctif disponible. Bleeping Computer ne mentionne en revanche aucun code d'exploitation public pour les failles des DGS-3130. Les deux cas diffèrent aussi par le matériel : des routeurs anciens d'un côté, des commutateurs destinés aux entreprises de l'autre.¹

Une autre affaire de sécurité réseau, d'une nature différente, a été rapportée la veille aux États-Unis. Le 5 novembre, Krebs on Security a écrit que des postes ou appareils de plusieurs employés de la Maison Blanche embarquent des services de proxy résidentiel. Ces services rendent leur adresse Internet disponible à la location. La société de sécurité Layer3 Intel indique avoir détecté plusieurs nœuds de proxy sur le réseau réservé à l'Executive Office of the President (AS2650). Selon elle, entre le 5 octobre et le 3 novembre, des proxys sont sortis 236 fois par ce réseau. La société Synthient a relié cette activité à plusieurs installations Windows 11 d'un service appelé Infatica. Dans ce cas, l'exposition vient de logiciels installés sur les postes ; dans celui de D-Link, elle viendrait du firmware des équipements réseau eux-mêmes.⁴

Pour la suite, D-Link annonce un nouveau firmware sans donner de date. La publication des identifiants CVE permettrait de suivre ces failles de façon standardisée. L'enquête en cours pourrait aussi étendre la liste des plateformes concernées au-delà du DGS-3130-30TS. Reste à savoir si le constructeur publiera des détails techniques en même temps que le correctif.¹