Des cyber-espions chinois ont exploité une faille 0-day critique dans Dell RecoverPoint
Mandiant et le Google Threat Intelligence Group (GTIG) ont révélé, le 17 février 2026, qu’un nouveau groupe de cyber-espionnage affilié à la Chine, UNC6201, exploitait depuis 2024 une faille 0-day affectant Dell RecoverPoint for Virtual Machines. De nombreuses grandes entreprises utilisent cet outil de sauvegarde et de restauration pour les environnements virtuels.
Les chercheurs en cybersécurité ont repéré, dans le code source de certaines versions de Dell RecoverPoint, un mot de passe codé en dur. Ils ont attribué à cette vulnérabilité le niveau de criticité maximal, avec un score CVSS de 10,0. En l’exploitant, UNC6201 a obtenu un accès administrateur aux machines ciblées, ce qui lui a permis d’y installer des logiciels malveillants, certains déjà connus, comme Slaystyle ou Brickstorm, et d’autres inédits, comme le cheval de Troie Grimbolt.
Les cybercriminels ont par ailleurs créé de fausses cartes réseau (« Ghost NICs ») sur des serveurs VMware ESXi pour se déplacer sans être détectés. Ils ont aussi modifié des scripts légitimes pour assurer discrètement la persistance de leurs accès.
Dell a publié un correctif pour cette faille et invite tous ses clients à l’appliquer dès que possible. Selon l’entreprise américaine, les cas d’exploitation active resteraient, pour l’heure, « limités ».
Mandiant et le GTIG ont par ailleurs identifié des similitudes entre UNC6201 et le groupe Silk Typhoon, impliqué dans plusieurs vastes campagnes de cyber-espionnage menées par Pékin. Les chercheurs préfèrent toutefois ne pas les considérer comme un seul groupe, faute de preuves formelles.