Infrastructures critiques, réseaux, souveraineté : semaine sous haute tension

Pourquoi lire cette édition ?

Cette semaine, plusieurs événements apparemment distincts racontent en réalité la même histoire : la cybersécurité se déplace vers les points de contrôle.

Au Sénégal, l’Assemblée nationale adopte un nouveau cadre qui veut organiser la protection des infrastructures d’information critiques, imposer des capacités de détection et encadrer les acteurs de la cybersécurité.

Dans les environnements industriels, des acteurs malveillants ciblent activement des automates Siemens S7 en développant notamment des scripts d’exploitation avec l’assistance de l’intelligence artificielle.

Chez Cisco, plusieurs vulnérabilités critiques affectent Crosswork, une plateforme utilisée pour administrer et orchestrer des infrastructures réseau, tandis que BroadWorks expose un autre type de système central : le provisioning de services télécoms.

Et plus près de l’utilisateur, contrôleurs Wi-Fi, routeurs et CPE continuent de rappeler qu’un firmware oublié peut devenir un point d’entrée durable.

Le fil rouge de S34 est donc simple : plus un système possède d’autorité sur les autres, plus sa compromission peut produire un effet multiplicateur.

Un nouveau cadre majeur pour la protection des infrastructures d’information critiques

Le 20 août 2026, l’Assemblée nationale du Sénégal a adopté à l’unanimité, par 127 voix pour, aucune voix contre et aucune abstention, le projet de loi n°25/2026 relatif à la protection des Infrastructures d’Information Critiques (IIC) et à la sécurité numérique. vie-publique.sn

À la clôture de cette édition, le 23 août, la formulation juridiquement prudente reste « projet de loi adopté par l’Assemblée nationale » : son adoption parlementaire est confirmée, mais nous ne présumons pas ici de sa promulgation ou de son entrée en vigueur ultérieure.

Sur le fond, le texte marque néanmoins une évolution importante de la gouvernance cyber sénégalaise.

Il prévoit notamment une Autorité nationale de cybersécurité, l’identification et la classification des infrastructures critiques, l’agrément de prestataires de cybersécurité, ainsi qu’une architecture articulant CERT national, CERT sectoriels et SOC. La DCSSI présente cette organisation comme un moyen de renforcer les capacités nationales de surveillance, de détection, de réponse et de continuité des activités essentielles. vie-publique.sn

Des obligations très concrètes pour les exploitants d’IIC

Les exploitants classés comme infrastructures d’information critiques devront élaborer un programme de cybersécurité dans les six mois suivant leur classement.

Le texte prévoit également la notification des incidents de cybersécurité dans un délai de 24 heures et la mise en place d’un SOC dans un délai d’un an pour les exploitants concernés. vie-publique.sn

À cela s’ajoutent des exigences de gestion des risques, sauvegarde, protection des données sensibles, continuité et reprise d’activité, audits, homologation des systèmes d’information et signalement des vulnérabilités. stcc-ssi.sn

Autrement dit, la protection d’une infrastructure critique n’est plus pensée uniquement comme l’achat de solutions techniques.

Elle devient une capacité organisationnelle permanente :

connaître ses actifs → analyser ses risques → protéger → surveiller → détecter → réagir → notifier → rétablir.

Souveraineté numérique et données publiques

Le projet pose également le principe du stockage des données de l’État sur le territoire national, avec des exceptions qui pourront être encadrées réglementairement. Il prévoit parallèlement l’agrément de certains prestataires de cloud et de cybersécurité. vie-publique.sn

Cette orientation mérite cependant une lecture technique.

Localiser une donnée ne suffit pas à rendre un système souverain.

La souveraineté suppose également de maîtriser les comptes privilégiés, les clés cryptographiques, les sauvegardes, les dépendances fournisseurs, les capacités d’administration, la réversibilité et la continuité de service.

Le lieu d’hébergement est une composante du problème, pas sa totalité.

Des sanctions qui rendent la conformité opposable

Le projet prévoit des sanctions administratives pouvant atteindre 800 millions de FCFA ou 5 % du chiffre d’affaires pour certains manquements graves. vie-publique.sn

C’est un changement de niveau.

Une stratégie nationale peut recommander de sécuriser les infrastructures.

Une réglementation assortie d’obligations, de délais, de contrôle et de sanctions exige désormais de pouvoir démontrer que cette sécurité existe.

Lecture CyberWatch

Le Sénégal assemble dans un même cadre plusieurs briques qui restent encore fragmentées dans de nombreux pays :

gouvernance nationale, identification des IIC, gestion des risques, CERT, SOC, audit, homologation, notification, agrément et sanctions.

L’étape suivante sera déterminante : décrets d’application, critères de classement des IIC, référentiels techniques, modalités d’agrément et surtout capacité réelle des organismes concernés à respecter ces nouvelles exigences.

C’est là que se jouera la différence entre un texte ambitieux et un dispositif national de cyberrésilience réellement opérationnel.

Siemens S7 : une menace active vise des automates industriels avec l’assistance de l’IA

Le 19 août 2026, la NSA et plusieurs agences partenaires ont publié une alerte consacrée à une menace active visant des automates programmables Siemens S7.

Selon les autorités américaines, les acteurs observés conduisent des activités ciblées de reconnaissance et développent des capacités d’exploitation contre des PLC basés aux États-Unis. Point particulièrement notable : certaines capacités utilisent des scripts d’exploitation générés avec l’assistance de l’intelligence artificielle et présentés comme des outils légitimes de monitoring. nsa.gov

Les secteurs cités comprennent notamment l’industrie manufacturière critique, l’énergie, l’eau et l’assainissement, la chimie, l’agriculture et certaines installations commerciales. nsa.gov

Pourquoi ce signal est différent

Un PLC n’est pas un simple poste informatique.

Il peut commander une pompe, une vanne, un moteur, une chaîne industrielle, une distribution d’énergie ou un processus physique.

La compromission d’un système bureautique peut provoquer une fuite de données.

La compromission d’un automate peut modifier le comportement du monde physique.

Les conséquences identifiées par les agences comprennent l’interruption de processus industriels critiques, l’endommagement d’équipements, l’indisponibilité, des incidents de sûreté et des effets sur des systèmes interconnectés. nsa.gov

Ce que change l’IA

Le point important n’est pas de conclure que « l’IA attaque désormais les automates ».

Le changement est plus subtil.

Documentation constructeur, protocoles industriels, CVE, bibliothèques publiques et exemples de code existent depuis longtemps. L’IA peut désormais contribuer à réduire le temps et l’expertise nécessaires pour transformer cette connaissance dispersée en capacité technique utilisable.

Dans les environnements OT, où des systèmes anciens peuvent rester opérationnels pendant des décennies, cette accélération mérite une attention particulière.

Priorité opérationnelle

Les exploitants d’environnements industriels devraient notamment vérifier :

l’inventaire réel des automates et de leurs versions ;

l’absence d’exposition directe inutile à Internet ;

la segmentation entre IT et OT ;

les accès d’administration ;

la journalisation et la détection d’activités anormales ;

ainsi que la capacité à isoler un équipement sans arrêter de manière incontrôlée le processus industriel.

Cisco Crosswork : quand le système d’orchestration devient lui-même la cible

Le 19 août, Cisco a publié une importante mise à jour de sécurité concernant sa plateforme Crosswork.

Quatre groupes de vulnérabilités sont concernés :

• CVE-2026-20030 — injection SQL — CVSS 10.0
• CVE-2026-20357 — absence d’authentification pour une fonction critique — CVSS 10.0
• CVE-2026-20358 — contrôle externe du système de fichiers — CVSS 10.0
• CVE-2026-20359 — protection insuffisante des identifiants — CVSS 9.9 sec.cloudapps.cisco.com

Les produits affectés comprennent Crosswork Data Gateway, Crosswork Network Controller, Crosswork Planning et Crosswork Workflow Manager.

Cisco indique qu’aucun contournement ne corrige ces vulnérabilités et recommande le passage vers les versions corrigées. L’éditeur ne signalait aucune exploitation malveillante connue au moment de l’avis. sec.cloudapps.cisco.com

Pourquoi Crosswork mérite une priorité particulière

Un CVSS 10 reste une donnée technique.

La fonction de l’actif détermine ensuite la portée réelle du risque.

Crosswork est justement conçu pour collecter des informations, automatiser et orchestrer des infrastructures réseau.

Compromettre une plateforme de ce type peut donc ouvrir un rayon d’action beaucoup plus important que la compromission d’un équipement isolé.

C’est une règle à généraliser :

les systèmes qui administrent les autres systèmes doivent eux-mêmes être considérés comme des actifs critiques.

Cela concerne les orchestrateurs réseau, contrôleurs SDN, consoles NMS, plateformes OSS, hyperviseurs, systèmes de provisioning, outils de sauvegarde, annuaires d’identité et consoles centrales de sécurité.

L’IA apparaît aussi du côté défensif

Autre élément remarquable : Cisco indique que ces vulnérabilités ont été découvertes pendant ses tests de sécurité internes, réalisés avec ses méthodes existantes ainsi qu’avec des modèles d’IA de pointe. sec.cloudapps.cisco.com

La même semaine, nous retrouvons donc l’IA :

côté offensif, dans la préparation de capacités visant les PLC Siemens ;

côté défensif, dans la découverte de vulnérabilités chez Cisco.

La question n’est plus de savoir si l’IA modifiera le cycle de vulnérabilité.

Elle est déjà en train de modifier sa vitesse.

Cisco BroadWorks : lecture de fichiers sensibles sans authentification

Toujours le 19 août, Cisco a publié CVE-2026-20320, une vulnérabilité XXE affectant BroadWorks et évaluée à 7.5 en CVSS 3.1. sec.cloudapps.cisco.com

Le problème se situe dans le parseur XML de l’Open Client Interface.

Un attaquant distant non authentifié peut envoyer un message XML spécialement conçu au service OCI-P. Une exploitation réussie peut permettre la lecture de fichiers sensibles présents sur le système avec les privilèges de l’utilisateur BroadWorks. sec.cloudapps.cisco.com

Sont notamment concernés :

BroadWorks Application Server ;

BroadWorks Profile Server ;

BroadWorks Xtended Services Platform ;

BroadWorks Application Delivery Platform.

Cisco indique qu’il n’existe pas de workaround et recommande une mise à niveau vers RI.2026.07 ou une version corrigée ultérieure. Aucune exploitation malveillante connue n’était signalée lors de la publication. sec.cloudapps.cisco.com

Lecture CyberWatch

Ce cas rappelle pourquoi la priorité ne doit jamais être déterminée uniquement par le CVSS.

Un 7.5 sur une plateforme centrale de services télécoms peut mériter davantage d’attention qu’un 9.8 sur un équipement périphérique sans exposition ni criticité métier.

Il faut donc croiser au minimum :

sévérité technique + exposition + exploitabilité + fonction de l’actif + impact métier.

Pour les opérateurs et fournisseurs de services utilisant BroadWorks, la première question est simple :

où se trouve OCI-P, qui peut l’atteindre et quelles informations la plateforme contient-elle ?

Contrôleurs Wi-Fi et routeurs : le firmware reste un angle mort

La périphérie du réseau fournit également plusieurs signaux intéressants cette semaine.

TRENDnet TEW-WLC100 — CVE-2026-75784

Publiée le 18 août, CVE-2026-75784 affecte le contrôleur Wi-Fi TRENDnet TEW-WLC100 en version 1v2.07b01.

Une manipulation d’un en-tête HTTP peut provoquer un stack-based buffer overflow à distance. Un exploit public existe.

La NVD n’a pas encore produit sa propre évaluation ; la CNA VulDB attribue 9.3 en CVSS v4.0 et 10.0 en CVSS v3.1. La CISA caractérise à ce stade l’exploitation comme PoC, ce qui est différent d’une exploitation active confirmée dans la nature. nvd.nist.gov

Cette nuance est importante :

exploit disponible ≠ exploitation active démontrée.

Un contrôleur Wi-Fi mérite néanmoins une attention particulière puisqu’il peut concentrer l’administration de plusieurs points d’accès.

WAVLINK WN531P3 / WN535M1 — CVE-2026-74843

Le 17 août, CVE-2026-74843 a été publiée pour les WAVLINK WN531P3 et WN535M1 avec le firmware V250922.

Le défaut repose également sur un débordement de pile, cette fois dans un composant CGI utilisant strcpy. L’exploitation peut être lancée à distance et un code d’exploitation a été rendu public. nvd.nist.gov

La CNA attribue ici encore un score critique, mais la CISA n’indiquait pas d’exploitation active au moment de son évaluation. nvd.nist.gov

TP-Link Archer C20 v6 — CVE-2026-75616

Publiée le 19 août, CVE-2026-75616 concerne l’interface de gestion du TP-Link Archer C20 v6.

Un administrateur authentifié situé sur un réseau adjacent peut exploiter une validation insuffisante de certaines opérations de configuration WAN pour exécuter des commandes système arbitraires avec des privilèges élevés.

TP-Link attribue à la vulnérabilité un score CVSS v4.0 de 8.5, et les versions corrigées sont identifiées dans l’avis constructeur. nvd.nist.gov

Lecture Afrique — connaître le modèle ne suffit plus

Ces vulnérabilités sont particulièrement intéressantes pour les environnements où des routeurs, répéteurs, contrôleurs Wi-Fi et CPE restent déployés pendant de nombreuses années.

Dire :

« nous avons un routeur TP-Link »

ne suffit pas pour déterminer l’exposition.

Il faut connaître :

constructeur + modèle + révision matérielle + version firmware + date de fin de support.

C’est pourquoi un inventaire cyber sérieux doit descendre jusqu’au firmware des équipements réseau et IoT.

Protéger les points de concentration d’autorité

En rapprochant les événements de la semaine, une logique apparaît.

Avec Siemens, la cible est le système qui commande le processus industriel.

Avec Crosswork, le risque touche le système qui orchestre le réseau.

Avec BroadWorks, il concerne une plateforme qui provisionne des services télécoms.

Avec un contrôleur Wi-Fi, l’actif vulnérable administre plusieurs équipements.

Et au Sénégal, le législateur cherche précisément à organiser qui contrôle, supervise et impose la sécurité des infrastructures essentielles.

Cette notion de concentration d’autorité mérite de devenir un critère de criticité à part entière.

Une organisation mature ne protège pas seulement ce qui coûte cher ou ce qui possède le CVSS le plus élevé.

Elle identifie également les systèmes dont la compromission permettrait à un attaquant de contrôler beaucoup d’autres actifs à partir d’un seul point.

Cyber Resilience Act — J-19 avant les obligations de notification

À la clôture de cette édition, le 23 août 2026, il reste 19 jours avant le 11 septembre.

À cette date entreront en application les obligations de notification prévues par le Cyber Resilience Act européen pour les fabricants de produits comportant des éléments numériques.

Les fabricants devront notamment notifier les vulnérabilités activement exploitées et les incidents graves affectant la sécurité de leurs produits.

Le dispositif prévoit :

24 heures pour l’alerte initiale ;

72 heures pour la notification principale ;

puis un rapport final selon le type d’événement.

Les déclarations doivent passer par la Single Reporting Platform mise en place par ENISA, annoncée opérationnelle pour le 11 septembre. digital-strategy.ec.europa.eu

Point important : ces obligations de notification concernent également des produits déjà mis à disposition sur le marché européen avant l’application complète du CRA prévue en décembre 2027. digital-strategy.ec.europa.eu

Ce que signifie réellement une obligation de 24 heures

Aucun processus sérieux de notification ne peut être improvisé le jour de l’incident.

Une organisation doit déjà savoir :

qui reçoit le signal ;

qui qualifie la vulnérabilité ou l’incident ;

qui décide de la notification ;

qui communique avec le CSIRT ;

quelles données sont nécessaires ;

et comment les décisions sont tracées.

Le CRA transforme ainsi progressivement la gestion des vulnérabilités produit en processus de gouvernance.

CRA — J-7 avant les premiers livrables de normalisation attendus

Un autre jalon se rapproche.

Le plan européen de normalisation indique que les premiers livrables relatifs au cadre horizontal et à la gestion des vulnérabilités sont attendus pour le 30 août 2026. Les standards spécifiques aux catégories importantes et critiques doivent suivre ultérieurement. interoperable-europe.ec.europa.eu

Une nuance reste essentielle : un livrable de normalisation attendu à une date donnée n’équivaut pas automatiquement à une norme harmonisée donnant déjà présomption de conformité au CRA.

Mais la direction est claire.

Le règlement commence à se transformer en exigences techniques vérifiables.

Nigeria — cloud, souveraineté et sécurité dans un même cadre

Le 17 août, le gouvernement nigérian a dévoilé sa National Digital Cloud Policy.

La politique poursuit plusieurs objectifs : attirer les investissements dans les infrastructures cloud et centres de données, moderniser les services publics, développer des capacités locales et positionner le Nigeria comme hub régional de services numériques.

L’un de ses quatre axes porte explicitement sur la souveraineté numérique et la sécurité, avec des exigences proportionnées et fondées sur le risque concernant la protection, la résidence et le contrôle de certaines catégories de données publiques ou réglementées. fmcide.gov.ng

Un aspect mérite d’être souligné : le Nigeria ne généralise pas la localisation de toutes les données commerciales. Le cadre conserve un marché cloud ouvert à plusieurs fournisseurs et réserve les contraintes de souveraineté aux catégories pour lesquelles un contrôle national est jugé nécessaire. fmcide.gov.ng

C’est une approche intéressante :

la souveraineté numérique ne signifie pas nécessairement tout héberger localement ; elle consiste à déterminer ce qui doit réellement rester sous contrôle national et pourquoi.

Ghana — la conformité des infrastructures critiques passe au contrôle

Le 21 août, le directeur général de la Cyber Security Authority du Ghana a annoncé un renforcement du contrôle de conformité à la directive nationale relative aux Critical Information Infrastructure — CII.

Les exploitants concernés doivent notamment déclarer les incidents dans les 24 heures et les vulnérabilités identifiées dans les 72 heures. Ils doivent également faire appel aux catégories de prestataires de cybersécurité autorisées pour intervenir sur les CII. isd.gov.gh

Deux jours auparavant, la CSA et EY Ghana annonçaient avoir réglé un différend portant justement sur les exigences de licence applicables aux services de cybersécurité. Le dossier faisait suite à une sanction infligée en mars 2026 pour fourniture de services réglementés sans licence valide. isd.gov.gh

Le signal est intéressant : au Ghana aussi, la cybersécurité réglementaire entre progressivement dans une phase où la conformité peut être contrôlée et sanctionnée.

De la stratégie cyber à l’obligation de résultat

Sénégal, Nigeria et Ghana ne font pas la même chose.

Leurs démarches ne doivent donc pas être artificiellement présentées comme équivalentes.

Mais elles révèlent une tendance commune.

Pendant longtemps, de nombreux cadres africains de cybersécurité ont surtout pris la forme de stratégies, politiques nationales, programmes de sensibilisation ou création d’institutions.

La nouvelle étape consiste progressivement à répondre à des questions beaucoup plus concrètes :

Qui est responsable ?

Quelles infrastructures sont critiques ?

Quelles mesures sont obligatoires ?

Quels incidents doivent être déclarés ?

Dans quel délai ?

Qui peut fournir des services cyber ?

Qui contrôle la conformité ?

Quelles sanctions existent ?

C’est ce passage de la stratégie vers l’opérationnel et l’opposable qui mérite aujourd’hui d’être observé de près sur le continent.

1. Le Sénégal franchit un cap réglementaire majeur

Le projet de loi adopté le 20 août construit un dispositif complet autour des IIC : gouvernance, risques, CERT, SOC, notification, prestataires, souveraineté et sanctions.

2. Les attaquants remontent vers le contrôle industriel

La menace visant les PLC Siemens rappelle que l’effet d’une cyberattaque peut désormais sortir du système d’information et atteindre directement le processus physique.

3. Un système central doit être protégé selon l’autorité qu’il possède

Crosswork illustre parfaitement le risque des plateformes capables d’administrer ou d’orchestrer de nombreux autres équipements.

4. L’IA accélère les deux camps

Elle apparaît cette semaine dans le développement de capacités offensives contre des PLC et dans la recherche défensive de vulnérabilités chez Cisco.

5. Le firmware ne doit plus rester hors inventaire

Le patch management doit intégrer routeurs, contrôleurs, IoT et CPE au même titre que serveurs et postes de travail.

6. En Afrique, la cybersécurité devient progressivement opposable

Le Sénégal légifère, le Ghana renforce l’application de ses obligations et le Nigeria structure la souveraineté du cloud. La question n’est progressivement plus seulement « avons-nous une stratégie cyber ? », mais « sommes-nous capables d’en démontrer l’application ? »