Coca-Cola / Fairlife victime du ransomware Anubis : CVE-2025-5777 (CitrixBleed 2), 1 To de donnees volees, rancon refusee et donnees publiees — lecons pour les entreprises

— Les faits : Fairlife, filiale de Coca-Cola, frappee par le ransomware Anubis

Le 16 juillet 2026, Coca-Cola deposait un formulaire 8-K aupres de la Securities and Exchange Commission (SEC) americaine, revelant publiquement que sa filiale laitiere Fairlife avait ete victime d’une cyberattaque par ransomware. L’incident avait entraine le chiffrement de serveurs critiques et l’exfiltration d’un volume considerable de donnees confidentielles. Les operations de production aux Etats-Unis avaient ete temporairement suspendues.

Quatre jours plus tard, le 20 juillet, le groupe ransomware Anubis revendiquait officiellement l’attaque en ajoutant Fairlife a son site de fuite sur le dark web. Anubis, actif depuis fin 2025, est un groupe relativement nouveau dans l’ecosysteme ransomware mais qui s’est rapidement distingue par l’agressivite de ses operations et sa capacite a compromettre des cibles de grande envergure. Le groupe revendiquait l’exfiltration de 1 teraoctet de donnees confidentielles.

Le vecteur d’attaque identifie est la vulnerabilite CVE-2025-5777, baptisee CitrixBleed 2 par les chercheurs en securite — en reference a la devastatrice CVE-2023-4966 (CitrixBleed) qui avait cause des ravages en 2023-2024. Cette faille affecte les appliances Citrix NetScaler ADC et Gateway, qui servent de passerelles VPN et d’equilibreurs de charge dans des milliers d’entreprises. Elle permet une divulgation memoire pre-authentification, offrant aux attaquants la possibilite d’extraire des tokens de session actifs sans aucun identifiant, contournant ainsi toute forme d’authentification, y compris le MFA.

Coca-Cola a refuse de payer la rancon exigee par Anubis. En represailles, le groupe a publie l’integralite du teraoctet de donnees volees sur son site de fuite le 27 juillet 2026, selon les rapports de BleepingComputer et SecurityWeek.

— Chronologie detaillee : de l’exploitation CVE a la publication des donnees

La chronologie de cet incident revele un ecart critique dans la posture de securite de Fairlife. Le correctif pour CVE-2025-5777 etait disponible depuis juin 2025, soit plus d’un an avant l’exploitation par Anubis. Ce delai entre la disponibilite du patch et son application est malheureusement representatif de la realite du patch management dans de nombreuses grandes entreprises — en particulier pour les appliances reseau comme les Citrix NetScaler, souvent gerees par des equipes infrastructure distinctes des equipes securite.

L’attaque s’est probablement deroulee en plusieurs phases. D’abord, un scan automatise des appliances Citrix NetScaler exposees sur Internet, identifiant celles encore vulnerables a CVE-2025-5777. Puis l’exploitation de la faille pour extraire des tokens de session depuis la memoire de l’appliance. Ces tokens permettent de reprendre une session VPN active sans aucune authentification — le MFA est completement contourne puisque l’attaquant « vole » une session deja authentifiee.

Une fois a l’interieur du reseau, les operateurs d’Anubis ont effectue un mouvement lateral methodique pour identifier et acceder aux systemes contenant les donnees les plus sensibles. L’exfiltration de 1 To de donnees a necessite un temps significatif — probablement plusieurs jours — pendant lequel les systemes de detection auraient du identifier des flux sortants anormaux. Le fait que l’exfiltration ait pu se derouler sans declenchement d’alerte pointe vers une absence de monitoring des flux reseau sortants (NDR) ou de seuils d’alerte calibres sur le volume.

Enfin, apres l’exfiltration, Anubis a deploye son ransomware sur les serveurs de production, chiffrant les systemes critiques et forcant l’arret de la production dans les quatre usines americaines de Fairlife. Les operations canadiennes, sur une infrastructure separee, n’ont pas ete affectees — un argument de poids en faveur de la segmentation reseau geographique.

— CVE-2025-5777 (CitrixBleed 2) : anatomie d’une vulnerabilite devastatrice

Pour comprendre la gravite de cette attaque, il faut revenir sur la nature de la vulnerabilite exploitee. CVE-2025-5777, surnommee CitrixBleed 2, est une faille de divulgation memoire pre-authentification dans les appliances Citrix NetScaler ADC (Application Delivery Controller) et Gateway. Ces appliances sont utilisees par des dizaines de milliers d’entreprises dans le monde pour fournir un acces VPN securise a leurs employes distants, equilibrer la charge de leurs serveurs web et gerer l’authentification centralisee.

La vulnerabilite se situe dans le traitement des requetes HTTP par le composant d’authentification de NetScaler. Un attaquant distant, sans aucun identifiant, peut envoyer une requete specialement concue qui provoque une lecture hors limites (out-of-bounds read) dans la memoire du processus. La memoire ainsi exposee contient frequemment des tokens de session actifs — les jetons qui identifient les utilisateurs actuellement connectes au VPN.

En recuperant un token de session valide, l’attaquant peut reprendre (hijacker) la session VPN correspondante. Il se retrouve alors a l’interieur du reseau de l’entreprise avec les privileges de l’utilisateur dont la session a ete volee — potentiellement un administrateur. Le MFA est completement neutralise : l’utilisateur legitime s’est deja authentifie et a valide son second facteur avant que sa session soit volee. L’attaquant herite de cette session authentifiee sans jamais avoir a fournir de credentials.

Ce schema rappelle exactement le scenario de la premiere CitrixBleed (CVE-2023-4966) qui avait cause des ravages en 2023-2024, affectant notamment Boeing, le groupe hospitalier HCA Healthcare et des dizaines de collectivites locales. Malgre les lecons supposees tirees de cet episode, de nombreuses organisations n’ont manifestement pas renforce leur capacite a patcher rapidement leurs appliances Citrix — Fairlife en est la preuve.

— Le groupe Anubis : un acteur ransomware en ascension rapide

Anubis est un groupe ransomware apparu fin 2025 sur la scene cybercriminelle. Nomme d’apres le dieu egyptien de la mort, le groupe a rapidement gagne en notoriete en ciblant des entreprises de taille intermediaire et des filiales de grands groupes — une strategie qui minimise la resistance tout en maximisant la valeur des donnees volees. La filiale Fairlife de Coca-Cola est son attaque la plus mediotisee a ce jour.

Le modele operationnel d’Anubis repose sur la double extorsion, desormais standard dans l’ecosysteme ransomware : chiffrement des systemes pour paralyser l’activite, combine a l’exfiltration prealable de donnees pour exercer un chantage a la publication. Si la victime refuse de payer, les donnees sont publiees sur le site de fuite du groupe — exactement ce qui s’est passe avec Fairlife le 27 juillet.

Selon les analyses de SOCRadar, Anubis se distingue par sa specialisation dans l’exploitation de vulnerabilites d’appliances perimetriques — Citrix, Fortinet, Ivanti. Cette specialisation lui permet de penetrer les reseaux d’entreprise sans aucune interaction humaine (contrairement au phishing ou au vishing), rendant ses attaques plus rapides, plus fiables et plus difficiles a detecter dans les premieres phases.

— Impact operationnel : production suspendue, SEC alertee, donnees publiees

L’impact de l’attaque sur Fairlife a ete triple. D’abord, l’impact operationnel : le chiffrement des serveurs de production a entraine la suspension temporaire des operations dans les quatre usines americaines de Fairlife. Pour une filiale agroalimentaire dont la chaine du froid est critique, chaque heure d’arret represente des pertes directes considerables — produits perissables, engagements contractuels avec les distributeurs, ruptures de stock. Les operations canadiennes, hebergees sur une infrastructure separee, ont continue normalement.

Ensuite, l’impact reglementaire. Coca-Cola a depose un formulaire 8-K aupres de la SEC le 16 juillet 2026, conformement aux regles de disclosure imposees par la SEC depuis decembre 2023. Ces regles obligent les societes cotees a signaler tout incident cyber « materiel » dans un delai de quatre jours ouvrables. Le depot 8-K a rendu l’incident public, exposant Coca-Cola au regard des investisseurs, des analystes et des medias.

Enfin, l’impact reputationnel et juridique. La publication par Anubis de 1 To de donnees le 27 juillet ouvre la porte a des consequences en cascade : exposition de donnees commerciales confidentielles, de secrets de fabrication, de donnees RH, de contrats fournisseurs. Les tiers dont les donnees figurent dans le lot publie pourraient engager des actions en justice. Si des donnees personnelles de citoyens europeens sont incluses, le RGPD impose une notification a la CNIL et aux personnes concernees sous 72 heures.

— Comparaison : les grandes attaques via vulnerabilites Citrix (2023-2026)

Le tableau ci-dessus illustre un pattern recurrent : les vulnerabilites Citrix sont systematiquement exploitees par les groupes ransomware les plus actifs et les plus dangereux. CitrixBleed (CVE-2023-4966) a cause des degats massifs en 2023-2024. Deux ans plus tard, CitrixBleed 2 (CVE-2025-5777) reproduit exactement le meme scenario. La nature meme de ces appliances — exposees sur Internet, gerant l’authentification VPN, souvent oubliees dans les cycles de patching — en fait des cibles ideales.

— Lecons pour les entreprises : 6 actions immediates

L’attaque contre Fairlife n’est pas un evenement isole. C’est l’illustration d’un mode operatoire systemique que votre entreprise doit anticiper. Voici les six actions a mettre en oeuvre immediatement :

1. Patcher vos appliances perimetriques en priorite absolue. Citrix NetScaler, Fortinet FortiGate, Palo Alto GlobalProtect, Ivanti Connect Secure : ces appliances sont les portes d’entree de votre reseau. Verifiez les versions firmware de chaque appliance exposee sur Internet et appliquez les correctifs dans un delai de 48 heures pour toute CVE critique. Si vous ne pouvez pas patcher immediatement, deconnectez l’appliance d’Internet en attendant. Un VPN hors service vaut mieux qu’un reseau compromis.

2. Invalider toutes les sessions actives apres le patching. Patcher la vulnerabilite ne suffit pas si un attaquant a deja vole des tokens de session. Apres application du correctif CVE-2025-5777, invalidez immediatement toutes les sessions actives et forcez une re-authentification de l’ensemble des utilisateurs. C’est une etape critique souvent oubliee — Boeing en avait fait les frais en 2023.

3. Deployer un NDR (Network Detection and Response). L’exfiltration de 1 To de donnees chez Fairlife a necessite des transferts massifs de donnees vers l’exterieur. Un outil NDR (Darktrace, Vectra, ExtraHop) aurait detecte ces flux sortants anormaux en volume et en destination. Le NDR est le complement indispensable de l’EDR pour detecter les mouvements lateraux et l’exfiltration que les endpoints seuls ne voient pas.

4. Segmenter votre reseau. Les operations canadiennes de Fairlife n’ont pas ete affectees car elles etaient sur une infrastructure separee. La segmentation reseau limite le blast radius d’une compromission. Isolez les systemes de production (OT) du reseau IT. Isolez les filiales. Isolez les environnements critiques. Chaque segment compromis ne doit pas pouvoir servir de tremplin vers les autres.

5. Tester vos sauvegardes et votre plan de reprise. Fairlife a pu reprendre la production dans ses quatre usines, ce qui suggere que des sauvegardes fonctionnelles existaient. Testez regulierement la restauration de vos sauvegardes — pas seulement leur existence, mais leur fonctionnement reel en conditions de crise. Un backup qui n’a jamais ete teste est un espoir, pas une strategie.

6. Preparer un plan de reponse aux incidents incluant le scenario « rancon refusee ». Coca-Cola a fait le choix correct de ne pas payer. Mais ce choix implique de gerer la publication des donnees volees : notification des tiers, communication de crise, monitoring du dark web, actions juridiques. Votre plan de reponse aux incidents doit inclure ce scenario et les actions associees avant qu’il ne se produise. Nos solutions de reponse aux incidents couvrent cette preparation.

— Contexte francais : pourquoi cette attaque vous concerne directement

Coca-Cola est un groupe americain, mais les enseignements de cette attaque sont universels — et particulierement pertinents pour les entreprises francaises. La France est le troisieme pays le plus touche par les ransomwares en Europe, et l’ANSSI rapportait dans son panorama de la menace 2025 une augmentation de 30 % des incidents ransomware impliquant des appliances perimetriques comme vecteur initial.

Les appliances Citrix NetScaler sont largement deployees en France, en particulier dans le secteur bancaire, hospitalier, les collectivites territoriales et les grands groupes industriels. Un scan Shodan revele encore des centaines d’appliances exposees en France dont la version firmware suggere une vulnerabilite a CVE-2025-5777. Chacune de ces appliances est une porte d’entree potentielle pour Anubis ou tout autre groupe ransomware.

La directive NIS2, en vigueur depuis octobre 2024, impose aux entites essentielles et importantes de mettre en oeuvre des mesures de gestion des risques cyber « proportionnees », incluant explicitement la gestion des vulnerabilites et le patch management. Une entreprise qui laisserait une CVE critique non patchee pendant plus d’un an, comme Fairlife, s’exposerait a des sanctions de l’ANSSI pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

— Ce qu’il faut surveiller dans les semaines a venir

Aout 2026 : analyse du contenu publie par Anubis. Les chercheurs en securite et les journalistes vont examiner les 1 To de donnees publiees pour determiner la nature exacte des informations exposees. Si des donnees personnelles, des secrets commerciaux ou des informations financieres sensibles sont identifies, les consequences juridiques et reglementaires pour Coca-Cola s’aggraveront considerablement.

Septembre 2026 : potentielles poursuites judiciaires. Les tiers dont les donnees figurent dans le lot publie — fournisseurs, partenaires, employes — pourraient engager des class-action lawsuits aux Etats-Unis ou des plaintes individuelles en Europe au titre du RGPD. L’antecedent de 2023 ou Coca-Cola avait deja subi une breach revendiquee par un groupe different pourrait aggraver l’argumentation des plaignants.

Q4 2026 : evolution du groupe Anubis. Le succes mediatique de l’attaque contre Fairlife va attirer de nouveaux affilies vers le programme ransomware-as-a-service d’Anubis. Les entreprises utilisant des appliances perimetriques non patchees doivent anticiper une intensification des tentatives d’exploitation ciblant CVE-2025-5777 et d’autres vulnerabilites similaires.

— FAQ