Le sénateur Wyden veut purger les VPN obsolètes de l'administration américaine en deux ans

Le sénateur Ron Wyden a envoyé une lettre le 27 juillet 2026 à l’Office of Management and Budget, à la Cybersecurity and Infrastructure Security Agency et au National Institute of Standards and Technology, demandant un délai contraignant de deux ans pour éliminer les appliances VPN obsolètes exposées sur internet dans l’ensemble de l’administration fédérale. C’est une proposition sur l’infrastructure d’accès distant en entreprise, pas sur l’application VPN grand public de votre téléphone, mais le raisonnement derrière mérite d’être compris quand même.

Ce que demande vraiment la lettre

La lettre de Wyden demande à la CISA d’émettre une directive opérationnelle contraignante (Binding Operational Directive) obligeant les agences civiles fédérales à éliminer les appliances VPN obsolètes exposées publiquement en deux ans, en les remplaçant par une architecture d’accès distant zéro confiance moderne. Il demande aussi à la National Security Agency d’imposer le même délai de deux ans sur les réseaux militaires, du renseignement et de sécurité nationale, en utilisant son autorité existante.

Rien de tout ça n’est une politique approuvée pour l’instant. C’est une recommandation formelle, pas une directive déjà en vigueur, et les agences fédérales n’ont pas annoncé de plan de mise en œuvre à ce jour (The Record, CyberScoop).

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Pourquoi Wyden cible spécifiquement les appliances VPN

L’argument central est simple : les appliances VPN traditionnelles sont, par conception, exposées sur internet public, donc n’importe qui peut les repérer, les scanner et les sonder. Cette « porte d’entrée » exposée s’est révélée à répétition être exactement la façon dont des pirates soutenus par les États chinois et russe ont pénétré des réseaux gouvernementaux et de sous-traitants. La lettre de Wyden présente la dépendance continue aux appliances VPN obsolètes comme un mode de défaillance récurrent et prévisible, pas un incident isolé.

Ce cadrage rejoint un schéma que nous avons couvert à répétition cette année sur l’infrastructure VPN d’entreprise spécifiquement. GlobalProtect de Palo Alto a eu une faille activement exploitée par le rançongiciel Qilin la semaine dernière (voir Le rançongiciel Qilin exploite une faille VPN de Palo Alto), les appliances SMA de SonicWall ont subi des zero-days pendant des semaines avant détection, et des identifiants Fortinet liés à FortiBleed se sont retrouvés associés au rançongiciel Lynx. Aucun de ces cas n’est isolé. Ce sont exactement la catégorie de matériel VPN exposé sur internet dont la lettre de Wyden demande aux agences d’arrêter de dépendre.

Zéro confiance, pas « suppression du VPN »

La proposition n’est pas « arrêtez l’accès distant chiffré ». C’est une poussée vers une architecture zéro confiance, où l’accès est vérifié en continu et de façon granulaire à chaque requête, plutôt que le modèle traditionnel du VPN qui accorde un large accès réseau dès qu’une connexion s’authentifie. La lettre de Wyden argumente que ce modèle est dépassé face à la façon dont les attaquants opèrent réellement aujourd’hui, et que les agences devraient arrêter de rustiner une appliance intrinsèquement exposée pour plutôt supprimer entièrement cette porte d’entrée exposée.

Pour en savoir plus sur ce qui distingue vraiment cette architecture d’un VPN traditionnel, voir VPN vs Zero Trust (ZTNA) en 2026 : de quoi votre entreprise a-t-elle vraiment besoin ?

Ceci ne concerne pas votre VPN personnel

Il vaut la peine d’être explicite sur le périmètre, car les titres du genre « le gouvernement veut purger les VPN » prêtent à confusion. La lettre de Wyden cible les appliances VPN obsolètes exposées sur internet, du matériel d’entreprise de fournisseurs comme ceux impliqués dans les failles ci-dessus, utilisé par les agences fédérales et leurs sous-traitants pour l’accès réseau distant. Ça n’a rien à voir avec les services VPN grand public comme ceux couverts sur ce site, qui chiffrent le trafic internet personnel d’un individu et n’exposent pas de réseau d’entreprise derrière eux comme le fait une passerelle VPN d’entreprise. Rien dans cette proposition ne restreint, n’interdit ou ne touche l’usage personnel d’un VPN.

Ça s’inscrit dans des années de politique zéro confiance fédérale

Ce n’est pas la première initiative du gouvernement vers le zéro confiance. Le décret exécutif 14028, signé en mai 2021, demandait aux agences fédérales de commencer à adopter les principes zéro confiance après une série de failles majeures. L’OMB a suivi en janvier 2022 avec le mémo M-22-09, fixant des objectifs d’architecture zéro confiance à l’échelle du gouvernement que les agences étaient censées atteindre avant la fin de l’exercice fiscal 2024. La plupart des agences ont raté ce délai dans les faits, ce qui explique en partie pourquoi la lettre de Wyden pousse pour une directive contraignante avec de vraies conséquences plutôt qu’un nouveau mémo d’objectifs volontaires.

La CISA a aussi déjà montré sa volonté de forcer l’action sur les appliances VPN spécifiquement quand la menace est assez sérieuse. En janvier 2024, elle a émis la directive d’urgence 24-01, ordonnant aux agences civiles de déconnecter immédiatement les appliances Ivanti Connect Secure et Policy Secure après une exploitation active et généralisée par des pirates liés à des États. Cette directive couvrait les produits d’un seul fournisseur en conditions d’urgence. Ce que Wyden demande maintenant est plus large et permanent : pas une réponse d’urgence à un produit défectueux, mais une politique permanente qui fait remplacer les appliances VPN obsolètes exposées sur internet, en tant que catégorie, sur un calendrier fixe de deux ans, quel que soit le fournisseur.

Quelles agences seraient concernées

La demande de la lettre se divise en deux volets. Les agences fédérales civiles (l’essentiel du gouvernement fédéral hors défense et renseignement) relèveraient de la directive opérationnelle contraignante proposée par la CISA, le même mécanisme qu’elle utilise déjà pour imposer des délais de correctifs et des configurations de référence à travers les agences. Les réseaux militaires, du renseignement et de sécurité nationale relèveraient d’un délai parallèle imposé par la NSA via son autorité existante sur ces réseaux, puisque l’autorité directive de la CISA ne s’étend pas à ce côté du gouvernement. Les sous-traitants qui se connectent aux réseaux fédéraux via la même infrastructure VPN obsolète seraient probablement concernés indirectement, les agences répercutant généralement leurs exigences de conformité sur l’accès distant de leurs fournisseurs.

Et maintenant ?

Les recommandations de Wyden ne sont pas contraignantes à elles seules. La CISA devrait réellement émettre la directive opérationnelle contraignante qu’il demande, et la NSA devrait agir séparément côté militaire et renseignement. Ni l’une ni l’autre ne l’a fait pour l’instant, et les agences ne se sont pas publiquement engagées sur un calendrier. Vu le rythme actuel des politiques fédérales de cybersécurité, une transition complète, si elle a lieu, se jouerait probablement sur plusieurs années plutôt que sur la fenêtre de deux ans proposée par Wyden, notamment vu l’ampleur des contrats fournisseurs et systèmes obsolètes concernés.

Ce qui est plus immédiatement notable, c’est le signal envoyé : l’exploitation continue et très médiatisée d’appliances VPN d’entreprise (Palo Alto, SonicWall, Fortinet et d’autres rien que ces derniers mois) est passée d’un argument de l’industrie de la sécurité à une exigence de changement architectural au niveau sénatorial. Cette seule pression tend à accélérer les investissements sécurité des fournisseurs, même avant qu’une directive formelle soit émise.

À lire aussi

Pour la distinction architecturale derrière cette proposition, voir VPN vs Zero Trust (ZTNA) en 2026. Pour la faille VPN d’entreprise la plus récente à l’origine de cette pression, lisez Le rançongiciel Qilin exploite une faille VPN de Palo Alto.