Article
© Midjourney x What's up Doc
Dans un rapport publié le 2 octobre, le CERT-FR - centre gouvernemental de veille et de réponse aux attaques informatiques - et le CERT Santé - son équivalent dans le secteur sanitaire - dressent un constat préoccupant de la cybersécurité des logiciels utilisés par les établissements de santé.
Selon un sondage de l'Agence du numérique en santé (ANS) cité dans le rapport, 82 % des établissements répondants ont eu connaissance de vulnérabilités sur leur système informatique au cours des douze derniers mois. Près des trois quarts (74 %) déclarent avoir été confrontés à des éditeurs tardant à corriger des failles ou refusant de le faire, tandis que 90 % ne disposent d'aucun canal formalisé pour les signaler.
Les deux organismes s'inquiètent notamment des délais de correction. « Pour 4 éditeurs importants du secteur santé, le traitement de vulnérabilités actuellement en cours dure depuis plus d'un an », relèvent-ils. Dans l’un des cas concernant une faille de gravité « moyenne », un éditeur a même prévu cinq ans après son signalement pour déployer son dernier correctif.
Ces retards s'expliquent notamment, selon eux, par l'intégration des correctifs aux nouvelles versions des logiciels, parfois espacées de plusieurs années, mais aussi par la complexité de certains systèmes et le manque de communication des éditeurs avec leurs clients.
Des données médicales potentiellement accessibles à d'autres patients
Fondé sur des cas réels anonymisés, le rapport décrit des vulnérabilités parfois élémentaires : mots de passe accessibles depuis un navigateur internet, identifiants administrateurs présents dans le code des applications ou logiciels accessibles sans authentification.
Plusieurs logiciels présentaient également des défauts de contrôle d'accès permettant à des médecins, voire parfois à de simples patients, de consulter indûment les données d'autres utilisateurs.
Selon les deux organismes, ce type de vulnérabilité est particulièrement exploité sur les logiciels de santé accessibles en ligne, notamment après le piratage d'un compte de professionnel de santé.
Certaines faiblesses ont même été introduites « en connaissance de cause » pour « faciliter » la coopération entre professionnels sur des dossiers, au détriment de la sécurité des données, notent-ils.
Incidents en hausse de 22 %
Ces vulnérabilités s'inscrivent dans un contexte de menace croissante. Le nombre d'incidents d'origine malveillante traités par le CERT Santé est passé de 328 en 2024 à 400 en 2025, soit une hausse de 22 %.
Au-delà de la confidentialité des données médicales, les deux organismes alertent sur les risques pour la continuité des soins et la sécurité des patients, d'autant qu'un même logiciel vulnérable peut être utilisé par de nombreux établissements.
Face à ces risques, ils appellent les éditeurs à corriger plus rapidement les failles et à mieux informer leurs clients, rappelant le renforcement des obligations européennes avec le Cyber Resilience Act, qui entrera pleinement en application en décembre 2027 pour les produits numériques concernés.
