Epic suspend le développement pour colmater des failles qui pourraient exposer des dossiers MyChart

Article réalisé avec assistance IA à partir des sources citées, avec contrôle éditorial automatisé.

Le fait — pause et raison

Fin septembre-début octobre 2026, Epic Systems a annoncé une suspension de la plupart de son développement produit pour concentrer ses équipes à corriger des failles de sécurité affectant MyChart, le système de consultation des dossiers patients utilisé par des centaines d’établissements. La dirigeante Judy Faulkner a évoqué une fenêtre d’environ six semaines pour ces travaux (Becker’s, 23 sept. 2026).

Comment ces failles ont été découvertes (et pourquoi c’est intéressant)

Plusieurs articles indiquent que des analyses automatisées utilisant un modèle « frontier » d’Anthropic (souvent nommé Mythos dans les reprises) ont mis en lumière des configurations clientes de MyChart permettant théoriquement l’accès à des dossiers patients sans laisser de traces dans les journaux d’audit. Epic n’a pas publié de bulletin technique détaillé à ce stade (TechCrunch, 2 oct. 2026).

Ce que l’on sait et ce qu’on ne sait pas

Ce que l’on sait : MyChart gère l’accès à plusieurs centaines de millions de dossiers (chiffres cités publiquement) et la vulnérabilité signalée semble dépendre de « configurations clientes » plutôt que d’un défaut universel du code. Aucun cas public d’exfiltration ou d’altération de données lié à ces failles n’a été annoncé au moment des reportages (TechCrunch).

Ce que l’on ne sait pas : Epic n’a pas publié de description technique, de CVE ou de fiche de remédiation publique. Sans ces documents, l’évaluation de la criticité réelle et de l’étendue reste incomplète (iTechGuides).

Pourquoi cette pause est significative

Il est rare qu’un éditeur de taille critique mette en pause le développement produit pour se concentrer sur la sécurité. Le signal ici n’est pas seulement la découverte d’un bug : c’est la reconnaissance que des outils d’IA peuvent accélérer la découverte de chemins d’attaque complexes, et que des défauts de configuration distribuée (chez les clients) peuvent créer un risque systémique. Anthropic a par ailleurs documenté publiquement ses travaux d’alignement et de sécurité autour des modèles « frontier » (Anthropic, août–sept. 2026).

Ce que doivent faire immédiatement les DSI et RSSI d’hôpitaux

En l’absence d’un bulletin technique officiel, voici des actions pragmatiques et vérifiables :

• Demander immédiatement à votre représentant Epic local un bulletin de sécurité et la liste précise des configurations concernées.
• Vérifier l’intégrité et l’exportation hors-site des journaux d’audit (logs) ; si des logs peuvent être altérés ou sont incomplets, coupez les connexions exposées et activez la conservation externe.
• Inventorier les endpoints MyChart exposés (APIs, reverse proxies, ports) et appliquer la segmentation réseau et le principe du moindre privilège.
• Renforcer la surveillance des accès anormaux (alertes sur lectures massives, accès horaires inhabituels) et activer des contrôles supplémentaires d’authentification là où c’est possible.
• Planifier des exercices de réponse à incident avec des playbooks centrés sur compromission silencieuse des logs.

Ce sont des gestes de bon sens, pas des incantations magiques — mais ils réduisent notablement la fenêtre d’exposition en attendant des instructions techniques formelles.

Que surveiller dans les jours qui viennent

Attendez un bulletin d’Epic, des CVE ou une communication officielle précisant : (1) les configurations affectées, (2) la méthode de remédiation, (3) les éventuelles preuves d’exploitation. Tant que ces éléments ne sont pas publiés, la prudence opérationnelle prime.

En clair : Epic a tiré le frein d’urgence. Tant mieux — mieux vaut six semaines de travaux que six mois à courir après des ransomwares. Mais la vraie question pour les établissements, c’est d’avoir la liste des pièces du puzzle que seul l’éditeur peut fournir. Demandez-la, exigez-la et vérifiez vos logs comme si votre carrière en dépendait (parce que, d’un certain point de vue, elle y est liée).

Sources : TechCrunch, Becker’s Hospital Review, Anthropic, iTechGuides, Quartz.

Yarek Chmielewski Geek.