La confiance implicite entre fonctions réseau livre 84 failles dans les cœurs 4G et 5G

Fin juillet 2026, 27 juillet 2026, 31 juillet 2026. Trois dates qui résument une découverte structurante pour la sécurité des réseaux mobiles mondiaux. 84 vulnérabilités — dont 81 déjà référencées sous CVE — ont été découvertes dans les cœurs de réseau 4G et 5G, ces fonctions critiques qui gèrent l’authentification, la mobilité et le routage des données de milliards d’abonnés. Le responsable n’est pas un bug isolé, mais une erreur de conception systémique : les fonctions réseau se font confiance implicitement, sans jamais vérifier la légitimité des messages qu’elles reçoivent de leurs pairs internes. Et la transition vers le cloud-native a fait sauter le seul rempart qui les protégeait — l’isolation physique.

La découverte provient d’une équipe de la Nanyang Technological University (NTU) de Singapour, qui publie ce 31 juillet 2026 un article intitulé Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis. L’étude couvre sept implémentations open source de cœurs LTE et 5G — Open5GS, OpenAirInterface, free5GC, SD-Core et eUPF — réparties sur deux protocoles de signalisation critiques : GTP-C (GPRS Tunnelling Protocol Control Plane) et PFCP (Packet Forwarding Control Protocol). Ces sept projets ne sont pas des jouets de laboratoire : ils alimentent des bancs d’essai académiques, des déploiements commerciaux, et servent de base à des produits d’équipementiers télécoms.

iTrue : quand le cœur du réseau fait confiance les yeux fermés

Les chercheurs ont nommé cette classe de vulnérabilités iTrue, pour implicit trust errors. Le concept est simple et dévastateur.

Dans un réseau mobile, les fonctions cœur — AMF (Access and Mobility Management Function), SMF (Session Management Function), UPF (User Plane Function), SGW-C (Serving Gateway Control Plane), PGW-C (PDN Gateway Control Plane) — échangent des messages de signalisation pour établir, maintenir et terminer les sessions des utilisateurs. Chaque appel, chaque session data, chaque SMS déclenche une cascade de dialogues entre ces fonctions via GTP-C et PFCP.

Historiquement, ces interfaces de signalisation étaient physiquement isolées dans des centres de données opérateur. Le périmètre de sécurité, c’était le bâtiment. Aucune menace extérieure ne pouvait atteindre un message GTP-C ou PFCP, donc personne n’a jamais jugé utile de valider sérieusement leur contenu. Une fonction cœur qui reçoit un message de sa voisine l’exécute. Point.

La virtualisation des fonctions réseau (NFV) a tout changé. Avec le déploiement des cœurs 5G sur des infrastructures Kubernetes, OpenStack ou des clouds publics, les interfaces de signalisation ont migré vers des réseaux overlay partagés. Une erreur de configuration — une Network Policy mal définie, un BGP leak, un pont entre le plan utilisateur et le plan contrôle — et ces interfaces deviennent routables depuis Internet. Le modèle de confiance, conçu pour un monde où le périmètre physique tenait lieu de sécurité, est devenu fragile. Les 84 failles le démontrent empiriquement.

« Notre recherche montre que ces vulnérabilités partagent une cause racine unique et récurrente : la confiance implicite entre fonctions du cœur réseau, et qu’elles sont présentes dans des implémentations open source largement utilisées, qui alimentent aussi bien des bancs d’essai académiques que des déploiements commerciaux », résument les auteurs.

Les types d’attaques rendues possibles sont de deux ordres :

• Déni de service (DoS). Un attaquant envoie un message GTPv2-C Create Session Request malformé à la fonction SGW-C. Celle-ci tente de le parser sans validation préalable et plante — session interrompue pour tous les abonnés rattachés à cette instance. Pas d’authentification préalable requise, pas de privilège particulier : il suffit que l’interface soit accessible.
• Détournement de session utilisateur. L’attaque, plus sophistiquée, exploite l’absence de contrôle d’unicité sur les identifiants de règles de détection de paquets (PDR ID) dans PFCP. Le scénario : l’attaquant établit une association PFCP légitime avec l’UPF, puis attend qu’une victime initie une session. Dès que le SMF envoie un PFCP Session Establishment Request pour la victime, l’attaquant injecte un PFCP Session Modification Request qui réutilise le PDR ID de la victime avec une priorité supérieure et une règle de forwarding malveillante pointant vers sa propre infrastructure. L’UPF, qui ne vérifie pas l’unicité des PDR, trie les règles par priorité et place la règle malveillante en tête. Le trafic montant de la victime part chez l’attaquant, pas vers Internet. L’utilisateur ne voit rien.

Ce dernier scénario n’est pas théorique. Deux opérateurs utilisant des cœurs 5G commerciaux ont été confirmés vulnérables au détournement de session. Le premier, Dotouch, a déjà corrigé le problème dans XproUPF (CVE-2026-8233, CVSS 4.6). Le second — un équipementier 5G majeur non nommé — est toujours en cours de remédiation au moment de la publication de l’étude.

L’attaque peut être menée par un adversaire distant (situé hors du cœur réseau, ayant simplement obtenu l’adresse IP d’une fonction cœur via documentation publique, énumération passive ou scan actif) ou par un équipement utilisateur malveillant (UE) connecté au réseau mobile. Dans ce second cas, l’attaquant injecte des messages GTP-C ou PFCP dans le flux de données montant (GTP-U), en exploitant le tunneling protocolaire pour traverser la frontière entre plan utilisateur et plan contrôle — une frontière que beaucoup de déploiements cloud-native ne font pas respecter strictement.

iFinder : comment l’IA a systématiquement trouvé ce que les humains auditaient mal

L’autre moitié de l’histoire est méthodologique — et elle concerne directement les équipes DevSecOps qui s’intéressent à l’automatisation de la découverte de vulnérabilités.

Les chercheurs n’ont pas audité manuellement sept codebases complexes. Ils ont construit iFinder, un système multi-agents assisté par LLM conçu pour découvrir des erreurs de confiance implicite à l’échelle. Le pipeline fonctionne en quatre phases :

1. Synthèse et catégorisation. Le système ingère les failles déjà documentées dans les cœurs réseau et les réduit en patterns de détection — absence de validation de format de message, absence de validation sémantique des champs, absence de contrôle d’unicité des identifiants de ressources.
2. Découverte par agents LLM. Les agents parcourent le code source des sept implémentations cibles (C, C++, Go) en appliquant ces patterns pour identifier des candidats iTrue potentiels. À ce stade, le taux de faux positifs est élevé — le LLM « hallucine » des vulnérabilités qui n’existent pas.
3. Cross-checking code-spécification. C’est l’innovation clé. Chaque candidat est confronté à la spécification formelle du protocole (GTP-C ou PFCP) : le système mappe le candidat à la procédure protocolaire qu’il est censé implémenter, puis vérifie dans le code source que la validation attendue par la spécification est effectivement absente. Cette technique élimine la quasi-totalité des hallucinations.
4. Génération et exécution de PoC. Les candidats survivants sont transformés en exploits de preuve de concept, exécutés contre les implémentations réelles dans un environnement contrôlé, et raffinés itérativement jusqu’à confirmation ou rejet.

Le résultat : 84 vulnérabilités inédites, 83 confirmées, 81 CVE attribuées à ce jour. Certaines failles iTrue découvertes dans les cœurs 5G sont héritées directement de leurs homologues 4G — le code a été repris sans que personne ne réévalue les hypothèses de confiance dans le nouveau contexte de déploiement.

Le framework iFinder illustre une tendance lourde : l’automatisation de la découverte de vulnérabilités par LLM, déjà démontrée par Google sur Chrome (1 072 failles corrigées en deux releases), devient applicable à des domaines où l’expertise humaine est rare et chère — la signalisation télécom en tête de liste.

Ce que ça change pour les opérateurs, les cloud architects et les RSSI

Pour les opérateurs télécoms. Vérifiez trois choses sans délai. Un : l’isolation réseau de vos interfaces GTP-C et PFCP — elles ne doivent jamais être routables depuis Internet ni depuis le plan utilisateur. Deux : la micro-segmentation entre fonctions cœur, avec des Network Policies qui appliquent le principe du moindre privilège. Trois : la validation des messages au niveau de chaque interface — un correctif fournisseur ne suffit pas si votre architecture expose ces interfaces par défaut.

Pour les équipes cloud et DevOps. La migration des fonctions réseau 5G vers Kubernetes n’est pas un lift-and-shift. Le modèle de sécurité qui tenait dans un datacenter privé avec isolation physique ne tient plus sur un cluster partagé. Le mTLS entre pods, les Network Policies strictes et la séparation des plans contrôle et données ne sont pas des bonus — ce sont des prérequis de sécurité. Si votre UPF et votre SMF dialoguent sur le même réseau overlay que vos charges applicatives, vous avez déjà un problème.

Pour les RSSI. Les 81 CVE couvrent des implémentations open source, mais le problème de fond — la confiance implicite — concerne aussi les équipementiers propriétaires. Les deux opérateurs commerciaux touchés le prouvent. Intégrez la validation des interfaces de signalisation dans vos audits de sécurité télécom. Exigez de vos fournisseurs de cœur réseau qu’ils documentent leur modèle de confiance inter-fonctions et les mécanismes de validation qu’ils appliquent sur chaque interface.

Verdict

La découverte des 84 failles iTrue n’est pas un énième bulletin de vulnérabilités — elle documente une classe entière de faiblesses structurelles qui traverse les générations de réseaux mobiles, de la 4G à la 5G, de l’open source au propriétaire.

Si vous opérez un cœur 4G ou 5G, votre priorité n’est pas le dernier patch firmware d’un équipementier. C’est la resegmentation de vos interfaces de signalisation pour qu’elles redeviennent ce qu’elles n’auraient jamais dû cesser d’être — inaccessibles depuis l’extérieur. Les 81 CVE sont le symptôme. La confiance implicite est la maladie. Et le cloud-native, sans les garde-fous adaptés, en est l’accélérateur.

Références

• Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis, Ziyu Lin et al., Nanyang Technological University, 31 juillet 2026
• The Hacker News, Researchers Report 84 Flaws in 4G and 5G Cores, Including a Session Hijacking Flaw, 31 juillet 2026 — https://thehackernews.com/2026/07/researchers-report-84-flaws-in-4g-and.html
• CVE-2026-8233 — Dotouch XproUPF PFCP Session Hijacking
• CVE-2026-50522 — Open5GS LTE GTPv2-C Denial of Service