Guide de sécurité des ports SMB : Explication des ports 139 et 445

Les organisations augmentent leur utilisation de diverses solutions pour répondre aux besoins de communication à travers leur infrastructure. Comme les systèmes de fichiers sont une partie intégrante de la collaboration, cet article va approfondir l'un des protocoles les plus largement utilisés et nécessaires pour de nombreux systèmes. Nous en apprendrons davantage sur le protocole SMB, le Port 139, le Port 445, son fonctionnement, les risques qui y sont associés, et les étapes de remédiation pour fournir un canal de communication plus sécurisé.

Qu'est-ce que le port SMB ?

Le port SMB (Server Message Block) est un port réseau principalement utilisé pour le partage de fichiers et de ressources à travers un réseau informatique. SMB fonctionne sur le port TCP 445 et permet l'accès partagé aux fichiers, imprimantes et ports série entre les appareils sur un réseau.

De plus, sa fonction principale de partage de ressources permet à SMB d'être utilisé pour les cas d'utilisation suivants :

• Impliquant des fentes de courrier (mécanismes de communication entre processus)
• Tuyaux nommés (une méthode pour que les processus communiquent soit sur la même machine soit sur un réseau).

Quels sont le Port 139 et le Port 445 ?

Pour que le protocole SMB fonctionne correctement, des ports réseau sont nécessaires pour communiquer avec d'autres systèmes. SMB nécessite que le port 139 ou le port 445 soit un port ouvert.

Port 139

À l'origine, SMB fonctionnait sur le port 139 en tant que protocole de la couche application pour que les ordinateurs Windows puissent communiquer entre eux sur le même réseau. Il était exécuté sur NetBIOS sur TCP/IP et est désormais dépassé par le port 445 dans les environnements modernes.

Port 445

Le port 445 est utilisé par les versions plus récentes de SMB car Windows 2000 l'a adopté pour l'utilisation de la communication directe TCP/IP. Généralement préféré au port 139, il permet également la communication entre différents réseaux pour des choses comme le partage de fichiers basé sur Internet.

Comment fonctionne le protocole SMB ?

Communication client-serveur

SMB est connu comme un protocole de demande-réponse. Il utilise l'approche d'une relation client-serveur, où le client fait une demande spécifique, et le serveur répond comme demandé. Quelques exemples d'utilisation pratique aujourd'hui sont des situations où des ressources de fichiers sont demandées ou des imprimantes doivent être partagées. SMB est également utilisé pour d'autres usages, tels que les mail slots et les situations de named pipe.

Développement historique

Historiquement, le SMB a été créé par IBM et conçu en 1983 pour l'accès aux fichiers DOS via des réseaux. Ce n'est qu'en 1990 que Microsoft a fusionné le protocole SMB avec son produit LAN Manager. À partir de là, le protocole SMB a continuellement évolué, comme en témoignent l'introduction de CIFS, ainsi que des améliorations significatives en termes d'efficacité, de performance et de sécurité, telles que décrites à travers les mises à niveau mentionnées de SMB 2 et SMB 3.

Dialectes du protocole SMB

Avec une présence croissante des implémentations SMB à travers l'industrie, les exigences réseau ont évolué pour avoir différentes demandes de SMB. Cela a conduit à l'émergence de différents dialectes du protocole SMB pour répondre à différents environnements. Selon les besoins et l'utilisation, différents dialectes pourraient être mis en œuvre pour une variété de buts.

Variations du dialecte SMB

Voici une liste des dialectes SMB populaires ainsi que leurs utilisations :

• CIFS (Système de fichiers Internet commun) : était un dialecte développé par Microsoft qui a fait ses débuts dans Windows 95 et qui était conçu pour les connexions réseau via des serveurs distants. Ce dialecte (port CIFS) permettait aux clients de se connecter à des partages de fichiers et d'imprimantes distants comme s'ils étaient accessibles localement.
• Samba: Samba est un dialecte open source (port Samba) qui permet aux machines Linux/Unix de communiquer avec les appareils Windows.
• NQ : a été développé par Visuality Systems pour apporter le protocole SMB aux plateformes autres que Windows. Particulièrement répandu dans des appareils tels que les imprimantes et les appareils de network devices domestiques.
• Tuxera SMB et MoSMB: Des dialectes ont également été créés comme méthodes propriétaires utilisant le protocole SMB pour des fonctionnalités spécifiques, telles que le partage de fichiers en entreprise et l'authentification avancée.

Risques de sécurité associés aux ports SMB ouverts

Les ports, comme ceux utilisés avec le protocole SMB, sont nécessaires pour communiquer à l'intérieur et à travers différents réseaux. Bien que leur utilisation ne soit pas en soi dangereuse, les ports ouverts peuvent être utilisés et exploités à des fins malveillantes.

Avoir des ports trop exposés peut conduire aux vulnérabilités suivantes, telles que :

• Un port exploitable par un ver
• Attaques de type Man-In-The-Middle,
• Usurpation NetBIOS,

Étude de cas : WannaCry Ransomware :

Un événement récent a été l'attaque du rançongiciel WannaCry qui ciblait les clients Windows utilisant une version obsolète de SMB. Une infection par ver était installée sur une machine cible, chiffrant les fichiers de l'utilisateur en échange d'une rançon. En plus de cela, le système infecté commençait également à rechercher d'autres machines via le protocole SMB v1, et si d'autres systèmes utilisaient ces ports ouverts, ils seraient susceptibles à l'auto-installation du rançongiciel sur cette machine et à la poursuite de sa propagation.

Alors que WannaCry a créé le chaos et causé des problèmes à de nombreuses entreprises et réseaux, ses résultats désastreux auraient pu être bien moins importants si les systèmes avaient été mis à jour avec des mesures de sécurité actualisées.

Meilleures pratiques pour sécuriser les ports SMB 139 et 445

Étant donné que les ports SMB peuvent être ciblés, voici quelques meilleures pratiques à mettre en œuvre pour se protéger contre diverses attaques :

Activez le pare-feu et Endpoint Protection

L'activation de ces dispositifs de sécurité réseau peut protéger ces ports contre les menaces et fournir également des services de mise en liste noire contre les adresses IP malveillantes connues.

Utilisez des VPN

En utilisant des VPN, le trafic réseau peut être chiffré et protégé contre les acteurs malveillants.

Créez des VLANs

La création de réseaux locaux virtuels peut être utilisée pour isoler le trafic interne afin de limiter la surface d'attaque.

Mettez en œuvre le filtrage d'adresses MAC :

Ces filtres peuvent empêcher les systèmes inconnus d'accéder et d'infiltrer votre réseau interne.

Mettez en œuvre des modifications de configuration système

Les modifications suivantes peuvent être effectuées pour renforcer votre sécurité contre les attaques SMB :

Désactiver NetBIOS sur TCP/IP

• Sélectionnez Démarrer, pointez sur Paramètres, puis sélectionnez Connexion réseau et numérotation.
• Cliquez avec le bouton droit sur Connexion au réseau local, puis sélectionnez Propriétés.
• Sélectionnez le Protocole Internet (TCP/IP), puis choisissez Propriétés.
• Sélectionnez Avancé.
• Sélectionnez l'onglet WINS, puis sélectionnez Désactiver NetBIOS sur TCP/IP.

Commandes pour surveiller l'état des ports

Pour déterminer si NetBIOS est activé sur un ordinateur Windows, exécutez une commande net config redirector ou net config server pour voir si un périphérique ‘NetBT_Tcpip’ est lié à l'adaptateur réseau.

Conclusion

Le protocole SMB s'est avéré être une méthode précieuse et essentielle pour accéder à différentes ressources réseau. Bien qu'il ait permis des choses comme le partage de fichiers et la connectivité, des mesures de sécurité doivent être prises pour garantir un accès autorisé au sein du réseau. Sécuriser les ports et se tenir à jour avec les protocoles sont quelques exemples de comment renforcer votre profil de sécurité dans la mise en réseau moderne.

En conjonction avec la sécurité du réseau, Netwrix peut répondre à votre plan de sécurité au niveau des données. Avec les Netwrix solutions, nous pouvons aider votre organisation à voir qui a accès à vos données et l'activité qui l'entoure. La surveillance est une partie critique de la détection des attaques et de la protection contre les violations.

Qu'est-ce qu'un port SMB ?

Microsoft a réagi en modifiant les paramètres par défaut plutôt que de compter sur les administrateurs pour détecter chaque faille. Windows 11, version 24H2, et Windows Server 2025 exigent désormais la signature SMB par défaut.

Au-delà du partage de fichiers, SMB prend en charge deux mécanismes de communication supplémentaires : les mail slots, qui gèrent les messages interprocessus unidirectionnels, et les named pipes, qui permettent à deux processus d’échanger des données sur la même machine ou à travers un réseau.

CISA a également ajouté une nouvelle faille d’escalade de privilèges SMB, CVE-2025-33073, à son catalogue des Vulnérabilités Connues Exploitées en octobre 2025. C’est pourquoi les ports 139 et 445 nécessitent toujours une surveillance continue, même après des décennies de fonctionnement discret en arrière-plan.

Server Message Block (SMB) est un protocole réseau qui régit le partage de fichiers et de ressources entre ordinateurs sur un réseau. SMB fonctionne principalement sur le port TCP 445 et permet l'accès partagé aux fichiers, imprimantes et ports série entre les appareils connectés.

Les systèmes Windows utilisent SMB depuis les années 1980, et c’est toujours le protocole de partage de fichiers par défaut dans la plupart des environnements Windows aujourd’hui.

Port 139 vs. port 445 : Quelle est la différence ?

Port 139

Port 445

Le port 139 était le port SMB original, fonctionnant comme un protocole de couche application sur NetBIOS dans les réseaux Windows locaux. Windows 2000 a introduit le port 445 en remplacement, et la plupart des environnements modernes ont progressivement abandonné le port 139 au profit de celui-ci.

Server Message Block (SMB) a transféré des données entre systèmes Windows pendant quatre décennies. C’est toujours l’un des protocoles les plus exposés sur les réseaux d’entreprise aujourd’hui. Le port 445 et son homologue hérité, le port 139, transportent le trafic derrière le partage quotidien de fichiers et d’imprimantes. Les attaquants le savent. Ces deux ports figurent en tête de chaque scan qu’ils effectuent contre un réseau exposé.

Pourquoi c’est important

Le port 445 exécute SMB directement sur TCP/IP, sans dépendance à NetBIOS. Cela permet au trafic SMB de traverser plusieurs réseaux, y compris Internet, faisant du port 445 le choix préféré dans presque toutes les déploiements Windows actuels.

Si le port 139 est ouvert quelque part sur votre réseau, vous transportez une surface d’attaque héritée dont vous n’avez probablement pas besoin. Le trafic basé sur NetBIOS ne dispose pas de signature ni de chiffrement, ce qui a permis aux exploits de type EternalBlue de se propager sans contrôle lors d’attaques comme WannaCry.

Le port 445 est plus défendable, mais uniquement si la signature SMB est activée ; sinon, il est exposé aux mêmes techniques de relais et d'escalade de privilèges derrière CVE-2025-33073.

SMB nécessite un port réseau ouvert pour fonctionner, et utilise soit le port 139 soit le port 445 selon la version de Windows concernée.

Vous pouvez empêcher cela en bloquant le port 139 à la périphérie du réseau, en restreignant le port 445 aux segments de confiance et en appliquant la signature SMB partout où elle est prise en charge. Faites cela, et vous aurez fermé les deux voies sur lesquelles la plupart des attaques SMB comptent encore.

Comment fonctionne le protocole SMB ?

SMB fonctionne comme un protocole de requête-réponse basé sur un modèle client-serveur, et une session typique suit quatre étapes :

1. Négociation : Le client et le serveur conviennent du dialecte SMB à utiliser pour la session.
2. Configuration de la session : Le client s’authentifie auprès du serveur en utilisant ses identifiants.
3. Connexion d'arbre : Le client demande l'accès à une ressource partagée spécifique, comme un dossier ou une imprimante.
4. Accès aux fichiers : Le client envoie des demandes de lecture, d’écriture ou d’impression, et le serveur répond directement à chacune.

Le protocole a évolué à travers plusieurs révisions majeures depuis lors. Celles-ci incluent le dialecte Common Internet File System (CIFS) et les améliorations de performance et de sécurité dans SMB2 et SMB3.

Chaque révision a corrigé une faiblesse spécifique de la version précédente, et SMB3 a introduit les capacités de chiffrement sur lesquelles les versions actuelles de Windows s'appuient par défaut.

Ce même mécanisme de négociation et de requête-réponse prend en charge la communication par mail slot et named pipe en plus du partage standard de fichiers et d'imprimantes. IBM a conçu SMB en 1983 pour l'accès aux fichiers DOS sur les réseaux locaux. Microsoft a fusionné le protocole avec son produit LAN Manager en 1990.

Dialectes du protocole SMB

Les implémentations SMB varient selon les environnements, et plusieurs dialectes ont émergé pour prendre en charge différentes plateformes et cas d'utilisation.

• Samba : Un dialecte open source qui permet aux systèmes Linux et Unix de communiquer avec les appareils Windows via SMB.
• CIFS (Common Internet File System) : Un dialecte Microsoft introduit avec Windows 95 qui permet aux clients de se connecter à des partages de fichiers et d'imprimantes distants comme s'ils étaient des ressources locales.
• Tuxera SMB et MoSMB : Implémentations propriétaires conçues pour des cas d'utilisation spécifiques, y compris les systèmes embarqués et le partage de fichiers d'entreprise avec authentification avancée.

Ces dialectes partagent la même architecture SMB sous-jacente, et les organisations qui exploitent des environnements mixtes Windows, Linux et embarqués comptent souvent sur plusieurs d’entre eux.

• NQ : Une implémentation portable de SMB de Visuality Systems, couramment trouvée sur des appareils non Windows tels que les imprimantes et les appareils réseau.

Risques de sécurité des ports SMB ouverts

Étude de cas : WannaCry (2017)

Les ports SMB transportent un trafic légitime de fichiers et d'impression, et les ports ouverts créent également un chemin que les attaquants sondent activement. Les ports SMB exposés ou mal configurés ont permis certains des vers réseau et exploits d'escalade de privilèges les plus destructeurs de la dernière décennie, et de nouvelles vulnérabilités continuent d'apparaître.

CVE-2025-33073 : escalade de privilèges du client Windows SMB

Non gérés, les ports SMB ouverts exposent les réseaux à la propagation de vers, à l’interception man-in-the-middle et au spoofing NetBIOS. Ces risques s’ajoutent à des failles antérieures telles que la vulnérabilité SMBv3 divulguée lors des précédents cycles Patch Tuesday, et le schéma montre clairement que SMB nécessite une gestion continue des correctifs comme pratique permanente.

WannaCry (2017) reste l'exemple historique le plus clair de ce qu'une vulnérabilité SMB non corrigée peut provoquer. Le ransomware a exploité une faille dans une version obsolète de SMBv1 via l'exploit EternalBlue sur le port TCP 445, s'installant sur une machine cible, chiffrant des fichiers et exigeant une rançon.

CVE-2025-37899 : zero-day de Linux ksmbd

Les systèmes infectés ont ensuite scanné le réseau via SMB à la recherche d'autres machines vulnérables et se sont auto-propagés, sans nécessiter d'action de l'utilisateur. Les dégâts remontent directement à des systèmes non corrigés exécutant des versions obsolètes de SMB. C'est pourquoi toute stratégie de prévention des ransomwares doit considérer la version SMB et la gestion des correctifs comme un contrôle de base.

Microsoft a divulgué CVE-2025-33073 en juin 2025. La faille de contrôle d’accès incorrect dans le client Windows SMB permet à un attaquant authentifié d’élever ses privilèges à SYSTEM en abusant de la manière dont SMB gère l’authentification NTLM lorsque la signature n’est pas appliquée.

Comment sécuriser le port 139 et le port 445

Les implémentations SMB basées sur Linux nécessitent la même discipline de correctifs que les systèmes Windows, car les attaquants ne limitent pas la cible SMB à un seul système d'exploitation.

La vulnérabilité a un score CVSS de 8,8, et CISA l'a ajoutée à son catalogue des Vulnérabilités Connues Exploitées en octobre 2025 après avoir confirmé une exploitation active. La faille affecte les versions actuellement prises en charge de Windows 10, Windows 11 et Windows Server, ce qui fait de l'application de la signature SMB une priorité plutôt qu'une étape optionnelle de durcissement.

Activer le pare-feu et la protection des endpoints

CVE-2025-37899 affecte ksmbd, le serveur SMB3 intégré au noyau Linux. La faille est une vulnérabilité use-after-free dans la manière dont ksmbd gère la commande SMB2 LOGOFF, et elle est importante pour toute organisation exploitant des environnements de partage de fichiers mixtes Windows et Linux, y compris les déploiements Samba et ksmbd.

Utilisez des VPN

Fermer les expositions SMB inutiles et renforcer les ports ouverts nécessite un mélange de contrôles réseau et de modifications de configuration. Cela s'inscrit dans un programme plus large de sécurité réseau; ce n'est pas une action isolée.

Créer des VLAN

Un pare-feu ou une plateforme de protection des endpoints bloque les tentatives de connexion provenant d’adresses IP non reconnues ou connues comme malveillantes avant qu’elles n’atteignent un service SMB. La plupart des plateformes de protection des endpoints maintiennent également des listes de blocage qui se mettent à jour automatiquement à mesure que de nouvelles infrastructures malveillantes sont identifiées.

Un VPN chiffre le trafic SMB en transit, empêchant les attaquants positionnés le long du chemin réseau de lire ou de modifier le trafic de partage de fichiers entre les systèmes.

Segmenter le trafic interne en VLAN limite la portée des déplacements d’un attaquant après avoir compromis un seul appareil, car le trafic SMB reste contenu dans son segment de réseau attribué.

Mettre en œuvre le filtrage des adresses MAC

Appliquer la signature SMB

Le filtrage des adresses MAC restreint l'accès au réseau à une liste définie d'appareils approuvés, empêchant les systèmes non reconnus d'accéder aux partages SMB même lorsqu'ils se connectent au même réseau physique.

La signature SMB empêche les attaques par relais et la falsification en vérifiant que le trafic n’a pas été modifié en transit, fermant ainsi la voie d’exploitation sur laquelle CVE-2025-33073 s’appuie.

Désactiver NetBIOS sur TCP/IP et SMBv1

Les organisations utilisant encore des versions plus anciennes de Windows devraient activer la signature manuellement via la stratégie de groupe plutôt que d’attendre une mise à jour forcée.

À partir de Windows 11, version 24H2, et Windows Server 2025, Microsoft exige la signature SMB par défaut. Les éditions Enterprise, Pro et Education de Windows 11 24H2 nécessitent une signature sortante et entrante, tandis que Windows Server 2025 nécessite une signature sortante.

Maintenir la sécurité des ports 139 et 445 dans le temps

Le port 139 et le port 445 existent parce que le partage de fichiers reste une fonction essentielle de presque tous les réseaux Windows, et cette même fonction fait de SMB une cible persistante.

Pour désactiver NetBIOS sur TCP/IP sur les anciens systèmes via l'interface, ouvrez Connexions réseau et accès distant, faites un clic droit sur la connexion active, puis sélectionnez Propriétés. Sélectionnez Protocole Internet (TCP/IP), sélectionnez à nouveau Propriétés, puis Avancé, ensuite l’onglet WINS et choisissez Désactiver NetBIOS sur TCP/IP.

SMBv1 est désactivé par défaut dans Windows 10, Windows 11 et Windows Server 2019 et versions ultérieures. Ne supposez pas que cela reste ainsi. Vérifiez-le. Pour désactiver SMBv1 via PowerShell, exécutez :

Le protocole a considérablement mûri depuis ses origines DOS, et les paramètres par défaut actuels, tels que la signature SMB obligatoire dans Windows 11 24H2 et Windows Server 2025, comblent des lacunes qui étaient restées ouvertes pendant des années. Des correctifs réguliers, l’application de la signature et la segmentation du réseau maintiennent les ports eux-mêmes défendables.

Fermer les ports inutiles et appliquer la signature réduit la surface d'attaque au niveau du réseau. Les données derrière un partage SMB ouvert nécessitent toujours leur propre revue d'accès, car les permissions des dossiers s'accumulent avec le temps, quelle que soit la sécurité du port lui-même. Un PowerShell script peut auditer et ajuster directement les ACL du système de fichiers, permettant aux équipes de gagner du temps qui serait autrement consacré à la gestion manuelle.

Sécuriser le port n’est qu’une partie de l’équation. Les fichiers et dossiers derrière un partage SMB ont besoin de leur propre visibilité et gouvernance, car les autorisations s’accumulent bien après que la raison commerciale initiale de leur attribution a expiré.

Demandez une démo pour voir comment Netwrix peut vous aider à suivre l'activité des partages de fichiers, signaler les partages SMB avec des permissions excessives et simplifier la collecte des preuves d'audit.

Qu'est-ce qu'un port SMB ?

Microsoft a réagi en modifiant les paramètres par défaut plutôt que de compter sur les administrateurs pour détecter chaque faille. Windows 11, version 24H2, et Windows Server 2025 exigent désormais SMB signing par défaut.

Server Message Block (SMB) est un protocole réseau qui régit le partage de fichiers et de ressources entre ordinateurs sur un réseau. SMB fonctionne principalement sur le port TCP 445 et permet l'accès partagé aux fichiers, imprimantes et ports série entre les appareils connectés.

CISA a également ajouté une nouvelle faille d’escalade de privilèges SMB, CVE-2025-33073, à son catalogue des Vulnérabilités Connues Exploitées en octobre 2025. C’est pourquoi les ports 139 et 445 nécessitent toujours une surveillance continue, même après des décennies de fonctionnement discret en arrière-plan.

Server Message Block (SMB) a transféré des données entre systèmes Windows pendant quatre décennies. C’est toujours l’un des protocoles les plus exposés sur les réseaux d’entreprise aujourd’hui. Le port 445 et son homologue hérité, le port 139, transportent le trafic derrière le partage quotidien de fichiers et d’imprimantes. Les attaquants le savent. Les deux ports figurent en haut de chaque analyse qu’ils effectuent sur un réseau exposé.

Au-delà du partage de fichiers, SMB prend en charge deux mécanismes de communication supplémentaires : les mail slots, qui gèrent les messages interprocessus unidirectionnels, et les named pipes, qui permettent à deux processus d’échanger des données sur la même machine ou via un réseau.

Port 139

Port 139 vs. port 445 : Quelle est la différence ?

Les systèmes Windows utilisent SMB depuis les années 1980, et c’est toujours le protocole de partage de fichiers par défaut dans la plupart des environnements Windows aujourd’hui.

SMB nécessite un port réseau ouvert pour fonctionner et utilise soit le port 139, soit le port 445, selon la version de Windows concernée.

Pourquoi c'est important

Port 445

Le port 139 était le port SMB d'origine, fonctionnant comme un protocole de couche application sur NetBIOS dans les réseaux Windows locaux. Windows 2000 a introduit le port 445 en remplacement, et la plupart des environnements modernes ont supprimé le port 139 au profit de celui-ci.

Le port 445 exécute SMB directement sur TCP/IP, sans dépendance à NetBIOS. Cela permet au trafic SMB de traverser plusieurs réseaux, y compris Internet, faisant du port 445 le choix privilégié dans presque toutes les déploiements Windows actuels.

Si le port 139 est ouvert n'importe où sur votre réseau, vous transportez une surface d'attaque héritée dont vous n'avez probablement pas besoin. Le trafic basé sur NetBIOS ne dispose d'aucune signature ni chiffrement, ce qui a permis aux exploits de classe EternalBlue de se propager sans contrôle lors d'attaques comme WannaCry.

Le port 445 est plus défendable, mais uniquement si la signature SMB est activée ; sinon, il est exposé aux mêmes techniques de relais et d’escalade de privilèges derrière CVE-2025-33073.

Comment fonctionne le protocole SMB ?

Vous pouvez empêcher cela en bloquant le port 139 à la périphérie du réseau, en limitant le port 445 aux segments de confiance et en appliquant la signature SMB partout où elle est prise en charge. Faites cela, et vous aurez fermé les deux voies dont dépendent encore la plupart des attaques SMB.

SMB fonctionne comme un protocole requête-réponse basé sur un modèle client-serveur, et une session typique suit quatre étapes :

1. Négociation : Le client et le serveur conviennent du dialecte SMB à utiliser pour la session.
2. Configuration de la session : Le client s’authentifie auprès du serveur en utilisant ses identifiants.
3. Connexion d'arbre : Le client demande l'accès à une ressource partagée spécifique, comme un dossier ou une imprimante.
4. Accès aux fichiers : Le client envoie des requêtes de lecture, d’écriture ou d’impression, et le serveur répond directement à chacune.

Le protocole a évolué à travers plusieurs révisions majeures depuis lors. Celles-ci incluent le dialecte Common Internet File System (CIFS) ainsi que les améliorations de performance et de sécurité dans SMB2 et SMB3.

Chaque révision a corrigé une faiblesse spécifique de la version précédente, et SMB3 a introduit les capacités de chiffrement sur lesquelles les versions actuelles de Windows s'appuient par défaut.

Ce même mécanisme de négociation et de requête-réponse prend en charge la communication par mail slot et named pipe en plus du partage standard de fichiers et d'imprimantes. IBM a conçu SMB en 1983 pour l'accès aux fichiers DOS sur les réseaux locaux. Microsoft a fusionné le protocole avec son produit LAN Manager en 1990.

Dialectes du protocole SMB

Les implémentations SMB varient selon les environnements, et plusieurs dialectes ont émergé pour prendre en charge différentes plateformes et cas d’utilisation.

• CIFS (Common Internet File System) : Un dialecte Microsoft introduit avec Windows 95 qui permet aux clients de se connecter à des partages de fichiers et d’imprimantes distants comme s’ils étaient des ressources locales.
• Samba : Un dialecte open source qui permet aux systèmes Linux et Unix de communiquer avec les appareils Windows via SMB.
• Tuxera SMB et MoSMB : Implémentations propriétaires conçues pour des cas d’utilisation spécifiques, y compris les systèmes embarqués et le partage de fichiers d’entreprise avec authentification avancée.

Ces dialectes partagent la même architecture SMB sous-jacente, et les organisations exploitant des environnements mixtes Windows, Linux et embarqués comptent souvent sur plusieurs d’entre eux.

• NQ : Une implémentation portable de SMB par Visuality Systems, couramment trouvée sur des appareils non Windows tels que les imprimantes et network devices.

Risques de sécurité des ports SMB ouverts

Étude de cas : WannaCry (2017)

Les ports SMB transportent un trafic légitime de fichiers et d'impression, et les ports ouverts créent également un chemin que les attaquants sondent activement. Les ports SMB exposés ou mal configurés ont permis certains des vers réseau et exploits d'escalade de privilèges les plus destructeurs de la dernière décennie, et de nouvelles vulnérabilités continuent d'apparaître.

CVE-2025-33073 : élévation de privilèges du client Windows SMB

Non gérés, les ports SMB ouverts exposent les réseaux à la propagation de vers, à l'interception man-in-the-middle et au spoofing NetBIOS. Ces risques s'ajoutent à des failles antérieures telles que la vulnérabilité SMBv3 divulguée lors des précédents cycles de Patch Tuesday, et le schéma montre clairement que SMB nécessite une gestion continue des correctifs comme pratique permanente.

WannaCry (2017) reste l'exemple historique le plus clair de ce qu'une vulnérabilité SMB non corrigée peut provoquer. Le ransomware a exploité une faille dans une version obsolète de SMBv1 via l'exploit EternalBlue sur le port TCP 445, s'installant sur une machine cible, chiffrant les fichiers et exigeant une rançon.

Microsoft a divulgué CVE-2025-33073 en juin 2025. La faille de contrôle d'accès incorrect dans le client Windows SMB permet à un attaquant authentifié d'élever ses privilèges à SYSTEM en abusant de la gestion de l'authentification NTLM par SMB lorsque la signature n'est pas appliquée.

Les systèmes infectés ont ensuite scanné le réseau via SMB à la recherche d'autres machines vulnérables et se sont auto-propagés, sans nécessiter d'action utilisateur. Les dégâts remontent directement aux systèmes non corrigés exécutant des versions obsolètes de SMB. C'est pourquoi toute stratégie de prévention des ransomwares doit considérer la version SMB et la gestion des correctifs comme un contrôle de base.

CVE-2025-37899 : Linux ksmbd zero-day

Les implémentations SMB basées sur Linux nécessitent la même discipline de correctifs que les systèmes Windows, car les attaquants ne limitent pas la cible SMB à un seul système d’exploitation.

Comment sécuriser le port 139 et le port 445

La vulnérabilité a un score CVSS de 8,8, et CISA l'a ajoutée à son catalogue des Vulnérabilités Connues Exploitées en octobre 2025 après avoir confirmé une exploitation active. Cette faille affecte les versions actuellement prises en charge de Windows 10, Windows 11 et Windows Server, ce qui fait de l'application de la signature SMB une priorité plutôt qu'une étape optionnelle de durcissement.

CVE-2025-37899 affecte ksmbd, le serveur SMB3 intégré au noyau Linux. La faille est une vulnérabilité use-after-free dans la gestion de la commande SMB2 LOGOFF par ksmbd, et elle concerne toute organisation utilisant des environnements de partage de fichiers mixtes Windows et Linux, y compris les déploiements Samba et ksmbd.

Activer le pare-feu et la protection des endpoints

Fermer l'exposition SMB inutile et renforcer les ports ouverts nécessite un mélange de contrôles réseau et de modifications de configuration. Cela s'inscrit dans un programme plus large de sécurité réseau; ce n'est pas une action isolée.

Créer des VLAN

Un pare-feu ou une plateforme de Endpoint Protection bloque les tentatives de connexion provenant d’adresses IP non reconnues ou connues comme malveillantes avant qu’elles n’atteignent un service SMB. La plupart des plateformes de Endpoint Protection maintiennent également des listes de blocage qui se mettent à jour automatiquement dès qu’une nouvelle infrastructure malveillante est identifiée.

Un VPN chiffre le trafic SMB en transit, empêchant les attaquants positionnés sur le chemin réseau de lire ou de modifier le trafic de partage de fichiers entre les systèmes.

Utilisez des VPN

Segmenter le trafic interne en VLAN limite la portée des déplacements d’un attaquant après avoir compromis un seul appareil, car le trafic SMB reste confiné dans son segment réseau assigné.

Mettre en œuvre le filtrage des adresses MAC

Appliquer la signature SMB

Le filtrage des adresses MAC limite l'accès au réseau à une liste définie d'appareils approuvés, empêchant les systèmes non reconnus d'accéder aux partages SMB même lorsqu'ils se connectent au même réseau physique.

La signature SMB empêche les attaques par relais et les altérations en vérifiant que le trafic n’a pas été modifié en transit, fermant ainsi la voie d’exploitation sur laquelle CVE-2025-33073 s’appuie.

Désactiver NetBIOS sur TCP/IP et SMBv1

Les organisations utilisant encore des versions anciennes de Windows devraient activer la signature manuellement via la stratégie de groupe plutôt que d’attendre une mise à jour forcée.

À partir de Windows 11, version 24H2, et Windows Server 2025, Microsoft requires SMB signing par défaut. Les éditions Enterprise, Pro et Education de Windows 11 24H2 exigent une signature sortante et entrante, tandis que Windows Server 2025 exige une signature sortante.

SMBv1 est désactivé par défaut dans Windows 10, Windows 11 et Windows Server 2019 et versions ultérieures. Ne supposez pas que cela restera ainsi. Vérifiez-le. Pour désactiver SMBv1 via PowerShell, exécutez :

Maintenir la sécurité des ports 139 et 445 dans le temps

Pour désactiver NetBIOS sur TCP/IP sur les anciens systèmes via l'interface, ouvrez Connexions réseau et accès distant, faites un clic droit sur la connexion active et sélectionnez Propriétés. Sélectionnez Protocole Internet (TCP/IP), sélectionnez à nouveau Propriétés, puis Avancé, ensuite l'onglet WINS et choisissez Désactiver NetBIOS sur TCP/IP.

Le port 139 et le port 445 existent parce que le partage de fichiers reste une fonction essentielle de presque tous les réseaux Windows, et cette même fonction fait de SMB une cible persistante.

Fermer les ports inutiles et appliquer la signature réduit la surface d’attaque au niveau réseau. Les données derrière un partage SMB ouvert nécessitent toujours une revue d’accès, car les permissions des dossiers s’accumulent avec le temps, peu importe la sécurité du port lui-même. Un PowerShell script peut auditer et ajuster directement les ACL du système de fichiers, faisant gagner du temps aux équipes qui passeraient autrement par une gestion manuelle.

Le protocole a considérablement évolué depuis ses origines DOS, et les paramètres par défaut actuels, tels que la signature SMB obligatoire dans Windows 11 24H2 et Windows Server 2025, comblent des lacunes restées ouvertes pendant des années. Un patching régulier, l’application de la signature et la segmentation du réseau maintiennent les ports défendables.

Sécuriser le port n’est qu’une partie de l’équation. Les fichiers et dossiers derrière un partage SMB nécessitent leur propre visibilité et gouvernance, car les permissions s’accumulent bien après que la raison commerciale initiale de leur attribution a expiré.

Demandez une démo pour voir comment Netwrix peut vous aider à suivre l’activité des partages de fichiers, signaler les SMB shares sur-permissionnés et simplifier la collecte des preuves d’audit.