Sécurité des MFP : nouvelles menaces 2026 et contre-mesures

Les imprimantes multifonctions (MFP) sont devenues des postes de travail à part entière : connectées, intelligentes, mais aussi vulnérables. En 2026, deux vulnérabilités critiques – CVE-2026-1789 et CVE-2026-1585 – rappellent que ces équipements trop souvent négligés constituent une porte d’entrée idéale pour les attaquants. Décryptage des menaces et des parades qui s’imposent.

Deux CVE majeures secouent le monde des MFP en 2026

Le printemps 2026 a vu la publication de deux failles dont les impacts diffèrent mais dont la gravité cumulative inquiète les RSSI.

La première, CVE-2026-1789, affecte l’interface de gestion distante de nombreuses MFP. Avec un score CVSS de 6,9, elle permet à un administrateur – ou à un attaquant ayant compromis un compte admin – de soumettre des requêtes spécialement forgées pour extraire des informations sensibles (fichiers numérisés, logs d’authentification, configurations réseau). Concrètement, un attaquant positionné sur le même segment que le parc MFP peut, via des appels API non filtrés, siphonner les documents transitant par l’imprimante.

La seconde, CVE-2026-1585, est encore plus inquiétante : un « unquoted service path » dans IJ Scan Utility pour Windows (score CVSS 8.4). Ce défaut classique permet l’exécution de code arbitraire avec les privilèges du service. En pratique, un attaquant local qui place un exécutable malveillant dans un répertoire non protégé peut prendre le contrôle du service de numérisation, puis escalader vers le système hôte.

Comment ces failles s’attaquent-elles à votre parc ?

Le mécanisme technique mérite d’être détaillé pour comprendre la criticité.

Pour CVE-2026-1789, le problème vient de l’absence de validation stricte des entrées sur l’interface web de gestion. Un administrateur légitime peut interroger la MFP via des requêtes HTTP GET/POST ; un attaquant qui usurpe ces droits peut forger des requêtes avec des paramètres non attendus, provoquant une fuite de données. L’impact est amplifié quand la MFP est exposée directement sur Internet, sans routeur ni NAT : des attaques de type buffer overflow (non listées dans les CVE mais documentées par les CERT) permettent dans ce cas une exécution de code arbitraire et même un déni de service.

Chiffre clé : selon le rapport 2025 de l’ANSSI, 63 % des incidents liés aux imprimantes en entreprise proviennent d’une mauvaise segmentation réseau.

Quant à CVE-2026-1585, le problème du « unquoted service path » est un classique du développement Windows : lorsque le chemin d’un service contient des espaces et n’est pas encadré de guillemets, Windows peut interpréter chaque sous-chemin comme un exécutable potentiel. Un attaquant place alors un fichier IJ.exe dans un répertoire en amont, et le service l’exécute avec ses propres privilèges (souvent SYSTEM).

Pourquoi les MFP sont-elles une cible de choix ?

• Elles tournent souvent avec des firmwares anciens, rarement mis à jour.
• Leur interface de gestion partage parfois le même réseau que les postes de travail.
• Les logs de supervision sont absents ou non centralisés.

Le socle des contre-mesures 2026

Face à ces vulnérabilités, les éditeurs (Canon, Konica Minolta, HP) ont diffusé des correctifs. Mais la véritable parade réside dans une approche systémique.

1. Mise à jour firmware immédiate C’est le réflexe numéro un. Les constructeurs publient des correctifs pour les CVE-2026-1789 et 2026-1585. Un plan de déploiement doit être défini, en testant d’abord sur une MFP pilote pour éviter les régressions.

2. Activation obligatoire du chiffrement (TLS 1.3) Les communications entre les postes et la MFP, ainsi que l’interface d’administration, doivent être chiffrées. TLS 1.3 est désormais le standard minimal ; les protocoles antérieurs (SSL, TLS 1.0/1.1) sont dépréciés.

3. Segmentation réseau La règle d’or : isoler les MFP dans un VLAN dédié, sans accès direct à Internet. Seuls les services autorisés (impression, numérisation, supervision) doivent pouvoir communiquer avec le parc. Cette mesure neutralise la majorité des attaques de type buffer overflow et réduit la surface d’exposition.

4. Supervision des logs par le SOC ou l’infogérant Chaque accès à l’interface distante, chaque tentative de connexion échouée, chaque modification de configuration doit être enregistrée et corrélée. Un SOC (ou un prestataire comme Meteris) peut ainsi détecter les comportements anormaux – par exemple une requête d’extraction massive de fichiers depuis une MFP normalement peu sollicitée.

Ce qui change concrètement pour les PME et ETI

Beaucoup de TPE/PME utilisent encore leurs MFP en mode « plug & play », branchées directement sur le réseau de production, parfois même exposées sur une IP publique. Or, les attaques ciblant les imprimantes sont en hausse de 45 % depuis 2024 (source : CERT-FR).

Prenons un exemple : une PME de 50 personnes imprime ses factures et numérise ses contrats via une MFP connectée au même VLAN que les serveurs comptables. Une faille comme CVE-2026-1789 permettrait à un attaquant d’exfiltrer les documents numérisés, avec un risque de fuite de données clients ou de propriété intellectuelle.

L’investissement dans une segmentation VLAN et un pare-feu applicatif coûte quelques centaines d’euros, bien moins qu’un incident de cybersécurité.

L’angle mort de la sécurité documentaire

Les MFP ne sont pas seulement des périphériques : elles hébergent des documents sensibles (bulletins de paie, contrats, données médicales) et disposent d’une capacité de stockage interne. Une fois compromises, elles deviennent des points d’exfiltration idéaux, souvent oubliés des audits de sécurité.

La contre-mesure 2026 inclut désormais le chiffrement des données au repos sur les disques durs des MFP, ainsi que l’effacement automatique des fichiers après impression. Des options proposées par les constructeurs mais rarement activées par défaut.

Trois réflexes à adopter dès maintenant

1. Auditer son parc MFP : identifier les modèles, versions de firmware, connexions réseau.
2. Appliquer les correctifs : suivre les bulletins de sécurité des constructeurs (Canon, Konica Minolta, HP).
3. Contrôler l’accès : activer l’authentification forte sur l’interface d’administration, limiter les droits administrateur.

Un accompagnement par un prestataire spécialisé permet de mener ces actions sans impacter la productivité. Meteris, par exemple, propose des audits flash de parc MFP et intègre ces équipements dans les contrats de cybersécurité globale.

L’essentiel à retenir

• Deux CVE majeures (2026-1789 et 2026-1585) exposent les MFP à des fuites de données et à l’exécution de code arbitraire.
• Les MFP connectées directement à Internet sans NAT constituent une cible privilégiée pour des attaques de buffer overflow.
• Les contre-mesures 2026 imposent la mise à jour firmware, le chiffrement TLS 1.3, la segmentation VLAN et la supervision des logs.
• La sécurité documentaire ne doit plus être un angle mort : chiffrement au repos, effacement automatique et authentification forte sont désormais essentiels.
• Un audit rapide de votre parc et un plan de mise en conformité peuvent être réalisés en quelques jours, sans interruption de service.

Pour aller plus loin

• Canon France – Sécurité des produits Canon
• Konica Minolta – CVE-2025-8452 et vulnérabilités MFP
• HP – Bulletins de sécurité 2026

💡 L'avis Meteris – Les MFP sont souvent le maillon faible de la sécurité périmétrique. Chez Meteris, nous intégrons systématiquement ces équipements dans nos contrats d’infogérance et de cybersécurité, avec supervision SOC et déploiement de correctifs automatisé. Contact : contact@meteris.fr - 01 83 62 33 27.

Article rédigé par Nicolas B., Consultant Solutions - Meteris.