Compromissions de superviseurs frigorifiques Danfoss

Produits concernés

• Danfoss AK-SM

• Danfoss AK-SC

Prérequis

• Accès réseau à l'interface de gestion de l'équipement

Risques

• Prise de contrôle de l'équipement de supervision frigorifique

• Modification des consignes de température et de dégivrage

• Rupture de la chaîne du froid et destruction des stocks

Résumé

Le CERT-FR a publié le 12 octobre 2026 une alerte de sécurité (CERTFR-2026-ALE-012) faisant état de nombreuses compromissions des superviseurs frigorifiques Danfoss des séries AK-SM et AK-SC.

Les superviseurs Danfoss AK-SM et AK-SC centralisent la régulation et la surveillance des installations frigorifiques, notamment dans la grande distribution. Ils pilotent les consignes de température, les cycles de dégivrage et les alarmes des meubles froids et des chambres froides.

Dans la nuit du 11 au 12 octobre 2026, une attaque coordonnée a touché les installations frigorifiques de plusieurs centaines de magasins en France, provoquant d'importantes pertes de produits frais et surgelés.

Trois vulnérabilités affectant les superviseurs AK-SM 800A ont été corrigées en 2025 et détaillées en août 2026 par les chercheurs de Claroty. La première, CVE-2025-41450 (score CVSS 8.2), permet de contourner l'authentification grâce à un mécanisme caché de mot de passe généré à partir de la date du jour. La deuxième, CVE-2025-41451 (score CVSS 7.6), permet à un utilisateur authentifié d'exécuter du code arbitraire sur l'équipement. La troisième, CVE-2025-41452 (score CVSS 5.4), permet à un utilisateur authentifié de provoquer un déni de service de l'interface web. Enchaînées, les deux premières permettent à un attaquant distant sans identifiants de prendre le contrôle d'un superviseur non à jour. La vulnérabilité CVE-2025-41450 suffit à elle seule à obtenir un accès administrateur à l'interface de gestion, et donc à modifier les consignes de température et de dégivrage.

À l'heure actuelle, cette campagne est activement exploitée. Il n’a cependant pas été confirmé que ces vulnérabilités soient à l’origine de la campagne d’exploitation.

Étant donné le risque associé, nous préconisons de déconnecter ou filtrer sans plus attendre l'accès à toute interface de gestion Danfoss AK-SM ou AK-SC exposée sur Internet.

Solutions

Détection de la compromission :

Afin de vérifier si un équipement est compromis, vous pouvez :

• Vérifier l'absence de modification récente des consignes de température et des cycles de dégivrage.

• Contrôler la liste des comptes existants sur les équipements et supprimer tout compte inconnu.

• Analyser les journaux de connexion à distance à la recherche d'accès inhabituels.

• Vérifier depuis l'extérieur qu'aucune interface de gestion Danfoss n'est exposée sur Internet.

Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.

Remédiation

Pour les équipements AK-SM 800A, mettre à jour vers la dernière version disponible.

Pour les équipements en fin de vie (AK-SM 800 et AK-SC 355), aucun correctif n'est disponible : planifier leur remplacement et les isoler de tout accès Internet d'ici là.

Mitigation

En cas de suspicion de compromission, le CERT-FR recommande de :

• Restreindre les accès réseau aux équipements aux seuls prestataires autorisés

• Réaliser une remise en état d'usine (Factory Reset)

• Appliquer tous les correctifs de sécurité disponibles

• Effectuer une rotation de l'ensemble des secrets

• Vérifier les comptes existants

• Reconfigurer entièrement l'équipement