Dell a publié une faille dans PowerProtect Data Domain, l’appareil qui conserve les copies de secours de nombreuses organisations, cotée 9,8 sur 10 selon la fiche NVD. Aucune exploitation n’est signalée à ce jour dans cette fiche, et Dell recommande à ses clients de mettre à niveau leurs appareils le plus tôt possible.
C’est quoi ?
Une vérification d’identité défaillante permettrait à une personne sans compte, depuis l’extérieur, de se créer un accès administrateur sur l’appareil de sauvegarde.
La vulnérabilité CVE-2026-86397 est une authentification déficiente. L’authentification, c’est la vérification qui confirme qu’une personne est bien celle qu’elle prétend être, un peu comme la serrure du chalet qu’on ferme pour l’hiver: on verrouille, on part tranquille, et on suppose que seule notre clé ouvre la porte. Ici, la serrure a un défaut: selon la fiche NVD, un attaquant non authentifié disposant d’un accès à distance pourrait se créer un compte privilégié, c’est-à-dire se tailler sa propre clé de maison et revenir quand il le veut. Et ce chalet-là, c’est précisément celui où l’entreprise entrepose ses copies de secours.
Pourquoi c’est grave ?
Le score est de 9,8 sur 10 selon la fiche NVD, et la cible est le système qui garde vos copies de secours.
Ce score CVSS 3.1 de 9,8 sur 10 a été attribué par l’organisme déclarant (CNA), selon la fiche NVD. Toujours selon cette fiche, la faille permettrait à un attaquant de prendre le contrôle complet du système. En termes d’affaires, cela veut dire trois choses: les données de l’entreprise peuvent sortir, donc une fuite de renseignements à annoncer; les sauvegardes peuvent être altérées, donc une remise en marche beaucoup plus longue après un incident; et le filet de sécurité sur lequel on compte pour redémarrer n’est plus fiable.
La fiche NVD ne signale aucune exploitation à ce jour. Ce n’est pas une raison d’attendre: la tempête est annoncée à la météo, on a encore le temps de rentrer les chaises. À noter aussi, une autre vulnérabilité du même produit, CVE-2026-86400, est listée au même seuil de sévérité pour la même période.
Ça touche qui ?
Les appareils Dell PowerProtect Data Domain dans plusieurs lignées de versions, utilisés surtout comme système central de sauvegarde.
Les versions touchées, selon la fiche NVD: Feature Release 7.7.1.0 à 8.8; LTS2024 7.13.1.0 à 7.13.1.80; LTS2025 8.3.1.0 à 8.3.1.40; LTS2026 8.6.1.0 à 8.6.1.20. La fiche ne précise pas la version corrigée, il faut donc se fier à l’avis officiel de Dell pour la cible exacte de mise à niveau. Ce type d’appareil se retrouve chez les organisations qui gèrent de gros volumes de données: manufacturiers, transporteurs, distributeurs, cliniques, cabinets professionnels, municipalités. Dans une PME, il est souvent installé et entretenu par un prestataire informatique, et la direction n’en connaît pas toujours le nom.
Comment vérifier dans mon entreprise ?
Quatre questions simples suffisent pour savoir si vous êtes concerné, et la plupart se posent à votre prestataire.
- Demander si l’entreprise utilise un appareil PowerProtect Data Domain et, le cas échéant, sa version exacte (direction, auprès du prestataire informatique).
- Confirmer que l’interface d’administration de l’appareil n’est pas accessible depuis Internet (prestataire informatique ou fournisseur du logiciel).
- Examiner la liste des comptes administrateurs et repérer tout compte privilégié créé récemment sans motif connu (prestataire informatique).
- Valider qu’une copie de sauvegarde récente existe ailleurs que dans le système de sauvegarde lui-même (direction).
Mise en situation
Exemple fictif: une clinique dentaire de la Rive-Sud n’a pas fait la mise à niveau de son appareil de sauvegarde.
Un lundi matin, les dossiers des patients ne s’ouvrent plus. L’appareil de sauvegarde, celui qui devait permettre de tout remonter, a lui aussi été touché: les copies de secours ne sont plus fiables. La journée de rendez-vous est annulée, la réceptionniste rappelle un à un les patients, les radiographies de la semaine sont à refaire. Les traitements reprennent, mais la clinique doit expliquer à sa clientèle ce qui est arrivé à ses renseignements de santé.
Ce que la faille dans PowerProtect Data Domain change pour une organisation d’ici
Au Québec, une fuite de renseignements personnels ne se règle pas qu’à l’interne: la Loi 25 impose de tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice sérieux est présent, d’aviser les personnes concernées et la Commission d’accès à l’information. Quand le système atteint est celui des sauvegardes, c’est à la fois la capacité de redémarrer et la preuve de ce qui s’est passé qui sont fragilisées.
Quoi faire maintenant
- Dresser l’inventaire de vos appareils de sauvegarde et de leurs versions, avec votre prestataire.
- Retirer d’Internet tout accès d’administration à ces appareils et le réserver au réseau interne.
- Appliquer la mise à niveau recommandée par Dell, en suivant l’avis officiel du fabricant.
- Vérifier les comptes privilégiés de l’appareil et faire enquête sur tout ajout inexpliqué.
- Conserver une copie de sauvegarde isolée du système de sauvegarde et tester une restauration.
FAQ
Personne ne nous a attaqués, peut-on attendre le printemps ?
La fiche NVD ne signale aucune exploitation à ce jour, ce qui est une bonne nouvelle, pas une permission d’attendre. Une faille cotée 9,8 sur 10 selon cette même fiche attire l’attention, et un appareil de sauvegarde est une cible de choix. Dell recommande la mise à niveau le plus tôt possible: c’est la fenêtre dont vous disposez, personne ne peut dire combien de temps elle reste ouverte.
Notre appareil n’est pas branché sur Internet, sommes-nous tranquilles ?
C’est un excellent réflexe, et cela réduit fortement l’exposition. Mais un accès peut exister sans qu’on le sache: un lien de télémaintenance, un pare-feu mal refermé, un poste interne compromis. Faites confirmer la situation par écrit par votre prestataire, puis appliquez quand même la mise à niveau. Il n’existe pas de protection absolue, et méfiez-vous de tout discours qui promet un risque zéro.
Qu’est-ce qu’on doit faire si des renseignements personnels sortent ?
Consignez l’incident dans votre registre, évaluez le risque de préjudice sérieux, et avisez les personnes touchées ainsi que la Commission d’accès à l’information lorsque ce risque est présent. Documentez les gestes posés et les dates. Les contrôles de cybersécurité de base publiés par le Centre canadien pour la cybersécurité fournissent une liste de vérifications utile pour préparer cette situation avant qu’elle n’arrive.
Sources
- Fiche CVE-2026-86397 de la National Vulnerability Database · NIST, 28 octobre 2026
- Avis de sécurité (dell.com) · dell.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-86397
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
