ExpressVPN corrige une faille sous Windows qui rendait vulnérable le trafic des bureaux à distance

ExpressVPN a corrigé une faille sur son application Windows qui permettait l’exposition du trafic de bureau à distance. Ce correctif vise à renforcer la sécurité des utilisateurs en protégeant mieux leurs échanges via le protocole Remote Desktop.

Une faille détectée par un chercheur indépendant

C’est le 25 avril dernier qu’un chercheur indépendant, connu sous le pseudonyme Adam-X, a alerté ExpressVPN au sujet d’une vulnérabilité dans son application Windows. Profitant du programme de récompense pour la découverte de bugs, il a signalé la présence accidentelle d’un code interne de débogage exposant le trafic passant par le port TCP 3389, notamment utilisé pour le protocole Remote Desktop Protocol (RDP). Ce type d’erreur, rare mais potentiellement problématique, concernait uniquement les utilisateurs Windows ayant recours à ce port spécifique.

Une réaction rapide et une mise à jour essentielle

En moins d’une semaine après la découverte, l’équipe d’ExpressVPN a publié un correctif – version 12.101.0.45 – destiné à refermer cette brèche. Il s’agit là d’une preuve concrète du sérieux avec lequel le fournisseur aborde la question de la cybersécurité. Les utilisateurs sont donc vivement invités à télécharger sans attendre cette mise à jour s’ils utilisent des services via le port 3389, dont le RDP, pour garantir la confidentialité de leur adresse IP.

L’impact réel : un danger contenu mais pas ignoré

Selon les explications fournies dans l’annonce officielle publiée plus tôt cette semaine par ExpressVPN, la probabilité qu’un pirate ait profité de la faille reste très faible. Pour espérer en tirer avantage, il aurait fallu qu’un attaquant connaisse l’existence du bug et réussisse à piéger sa cible afin qu’elle envoie du trafic web sur ce port précis. Même dans ce scénario complexe, seul l’adresse IP réelle pouvait être visible ; aucune donnée sensible n’était directement accessible.

Des garde-fous renforcés et une confiance renouvelée

Pour prévenir tout retour de ce type d’incident, ExpressVPN ne se contente pas de corriger la faille : l’entreprise met désormais en place des tests automatisés visant à repérer tout code de débogage persistant dans ses versions publiques. Ce renforcement des protocoles internes vient s’ajouter à une récente et convaincante audit externe sur la protection des données mené début 2025. Autant d’éléments qui renforcent le sentiment de vigilance et de réactivité du fournisseur envers ses utilisateurs.

Voici en résumé les mesures prises pour rassurer les clients :

• Mise à jour immédiate recommandée pour tous les usagers concernés ;
• Système de tests automatiques instauré contre les erreurs futures ;
• Audit externe réussi en début d’année.

La faille fut certes limitée, mais la rapidité et la transparence d’ExpressVPN confirment que l’enjeu sécuritaire demeure une priorité absolue pour les acteurs majeurs du secteur.