Coup de chaud sur la chaîne du froid : au tour de Dixell

La rumeur circulait depuis le début de la matinée après une alerte lancée par Adrien Le Norcy, gérant de Frigoristes.fr, sur LinkedIn. France 3 l'a confirmée avec un supermarché Leclerc de Lescure-d'Albigeois : les systèmes de supervision de la production de froid de Danfoss ne sont pas les seuls concernés ; il faut y ajouter ceux de Dixell.

Peu connu du grand public, ce nom est celui d'un spécialiste italien de la régulation thermique, né vers la fin des années 1990. En 2009, il a été racheté par l'américain Emerson et ses produits ont alors été longuement commercialisés sous la marque Emerson-Dixell.

Plus récemment, Emerson a vendu une part majoritaire de ses activités liées aux technologies de climatisation à Blackstone qui lui la donné son indépendance, sous la marque Copeland. La marque Dixell n'a pas disparu pour autant, mais elle est associée au nom de la nouvelle entité.

La gamme n'en a pas moins évolué au fil des ans. Les modèles les plus anciens, XWEB-500 ont notamment été affectés par une vulnérabilité critique, la CVE-2021-45420. Mais ces produits n'étaient alors déjà plus supportés : ils sont arrivés en fin de vie en 2018. En 2022, le NIST américain relevait dès lors que ce produit « devrait être retiré ou remplacé ».

Vient ensuite la famille XWEB Evo, arrivée en fin de vie en mars 2026. Copeland recommande « d'évaluer et de planifier la transition vers les modèles XWEB Pro actuellement disponibles » et, en parallèle, de mettre en oeuvre des mesures d'accompagnement telles que « segmentation réseau, accès restraint, supervision renforcée ».

Pas de chance toutefois, les modèles XWEB Pro, en version antérieure à la 1.21, sont concernés par une série de sérieuses vulnérabilités, dont la CVE-2026-24663, qui permet de forcer l'exécution de code arbitraire à distance sans authentification. Mais la CVE-2026-25085 n'est guère moins menaçante : elle permet de contourner l'authentification.

Claroty en décrit une troisième, tout aussi savoureuse, la CVE-2026-21718 : « nous avons découvert un mécanisme de génération de mots de passe déterministe qui dérive les identifiants administrateur SSH et de l'interface web à partir de la date courante, de l'adresse MAC de l'appareil et de clés cryptographiques codées en dur dans le firmware. La date courante et l'adresse MAC sont toutes deux accessibles publiquement, tandis que le nom d'utilisateur n'est utilisé que lors de la génération de mots de passe de récupération spécifiques à chaque utilisateur ». En somme, « un attaquant capable de reproduire cet algorithme peut dériver des identifiants administrateur valides ».

C'est la même logique que la CVE-2025-41450 de équipements Danfoss : « un mécanisme d'authentification caché, vraisemblablement pensé pour du support ou de la maintenance » qui ne s'appuie pas sur le mot de passe administrateur mais accepte un « code du jour » généré de manière déterministe.

Les équipes d'Onyphe, spécialiste français de la gestion de la surface d'attaque exposée, se sont penchées de manière plus approfondie sur le cas des systèmes Danfoss. Au total, plus de 6200 adresses IP exposent, dans le monde, des interfaces StoreView, la France restant « loin devant, en hébergeant à elle seule presque la moitié ».

La mauvaise nouvelle est que, globalement, « plus de la moitié des interfaces » utilisent les versions les... anciennes. Une demi-surprise pour un monde industriel plus attaché à la stabilité et à la continuité opérationnelle qu'aux mises à jour.

Onyphe observe en outre que « une grande partie des interfaces sont accessibles en HTTP. Les identifiants d’administration transitent donc en clair », sans chiffrement.

Et de relever que « l’accès direct à une interface Web constitue une solution pratique pour les frigoristes, leur permettant d’intervenir à distance sans déployer d’infrastructure VPN ni solliciter systématiquement les équipes informatiques du client pour configurer les accès réseau ». Las, « le canal utilisé pour faciliter les opérations de maintenance devient alors une porte d’entrée potentielle pour un attaquant ».