Une faille de sécurité dans Veeam, publiée le 27 octobre 2026 par la National Vulnerability Database, vise le logiciel de sauvegarde Backup and Replication et reçoit une gravité de 9,1 sur 10. Si votre entreprise s’en sert pour conserver ses copies de secours, demandez cette semaine à votre prestataire informatique de vérifier la version installée et de suivre l’avis de l’éditeur.
C’est quoi ?
Un défaut du logiciel permettrait à une personne non identifiée de contourner les contrôles d’accès d’un composant du produit, sans avoir à fournir d’identifiant ni de mot de passe.
La fiche NVD identifie ce défaut sous le numéro CVE-2026-108142, dans Veeam Backup and Replication, édité par Veeam. Ce logiciel fabrique et conserve les copies de secours de vos données : la bouée de sauvetage quand un serveur lâche ou qu’un fichier disparaît. Pensez à un immeuble de bureaux dont la porte principale exige une carte d’accès : si l’escalier de secours reste déverrouillé à l’arrière, on entre sans jamais passer devant le poste de contrôle. Le contrôle n’a pas été trompé, il a été évité. C’est l’esprit du problème décrit par la NVD.
Pourquoi c’est grave ?
La fiche NVD donne un score CVSS 4.0 de 9,1 sur 10, attribué par l’organisme déclarant (CNA), et indique qu’aucune exploitation n’est signalée à ce jour.
Le score CVSS est une note de gravité commune à l’industrie, sur dix. À 9,1, on parle d’un défaut sérieux. L’enjeu n’est pas seulement informatique : si le serveur de sauvegarde est atteint, l’entreprise risque de perdre sa capacité à repartir après un incident. Ce risque dépend de l’état de vos copies : une copie récente, isolée du réseau et dont la remise en service a déjà été testée, change beaucoup la suite. Le Centre canadien pour la cybersécurité rappelle que toutes les organisations canadiennes, quelle que soit leur taille, sont exposées aux rançongiciels, ces programmes malveillants qui rendent les fichiers illisibles et réclament un paiement; les sauvegardes sont précisément ce qui permet de refuser une rançon. Enfin, « aucune exploitation signalée » décrit les connaissances publiques au 27 octobre 2026, pas une garantie dans le temps.
Ça touche qui ?
Le produit visé est Veeam Backup and Replication, de l’éditeur Veeam. La fiche NVD ne précise ni les versions touchées ni la version corrigée.
Cette précision manque, et nous le disons plutôt que de la deviner : c’est l’avis de sécurité de Veeam qui fait foi pour établir si votre version est concernée. Les données disponibles ne disent rien de la diffusion commerciale du produit ici. À titre d’exemples d’organisations potentiellement concernées, pensez à celles qui administrent leurs propres serveurs : cabinets comptables, cliniques, manufacturiers, transporteurs, municipalités, commerces à plusieurs succursales. Si toute votre informatique est infonuagique, c’est-à-dire hébergée chez un fournisseur sans serveur dans vos locaux, le sujet vous concerne peut-être indirectement, par ce fournisseur.
Comment vérifier dans mon entreprise ?
Quelques questions suffisent pour savoir où vous en êtes, sans compétence technique de votre part.
- Demander à votre prestataire informatique quelle version de Veeam Backup and Replication est installée, et la comparer à l’avis de l’éditeur.
- Faire confirmer que le serveur de sauvegarde n’est pas joignable directement depuis Internet et que les accès à distance passent par une connexion sécurisée.
- Obtenir la liste des personnes et des comptes qui accèdent à la console de sauvegarde, l’écran d’administration d’où l’on pilote les copies, puis décider, côté direction, lesquels restent justifiés.
- Demander à votre responsable informatique, ou au prestataire qui administre vos sauvegardes, qu’une copie récente soit isolée du réseau et qu’une restauration soit testée : la remise en service réelle des données, pas seulement la présence des fichiers.
Mise en situation
Exemple fictif : un transporteur régional d’une vingtaine d’employés reporte l’entretien de son serveur de sauvegarde après la saison occupée.
Un matin, le système de répartition ne démarre plus. L’équipe se tourne vers les sauvegardes, mais le serveur qui les gère a été touché et les copies de la semaine sont inutilisables. La journée se fait au téléphone et sur papier : chargements improvisés, bons de livraison manuscrits, chauffeurs en attente. Le lendemain, il faut rappeler les clients un à un et reconstruire les dossiers d’expédition. L’incident n’a duré qu’un jour; la confiance met plus longtemps à revenir.
Quoi faire maintenant
- Confirmer dès cette semaine si Veeam Backup and Replication est utilisé chez vous, et par qui il est administré.
- Consulter l’avis de sécurité de Veeam avec votre prestataire pour établir si votre version est concernée et si un correctif est confirmé pour elle.
- Si c’est le cas, planifier son installation hors des heures de production.
- Retirer les accès inutiles à la console de sauvegarde et limiter l’exposition du serveur vers Internet.
- Avec le responsable de vos sauvegardes, tester une restauration complète et conserver une copie récente isolée du réseau, comme le recommandent les contrôles de base du Centre canadien pour la cybersécurité.
Faille de sécurité dans Veeam : ce que nous en retenons
Pour une organisation du Québec, ce cas illustre un déplacement du risque : ce n’est plus seulement la donnée qui est visée, c’est le filet de sécurité. Aucun prestataire ne peut garantir un risque zéro, mais corriger à temps et garder une copie hors d’atteinte réduit fortement l’exposition.
FAQ
Aucune attaque n’est signalée, peut-on attendre ?
La fiche NVD indique qu’aucune exploitation n’est signalée à ce jour : c’est l’état des connaissances publiques au 27 octobre 2026, pas une promesse pour les semaines à venir. Les données dont nous disposons ne précisent pas de correctif. Vérifiez auprès de Veeam si un correctif est confirmé pour votre version, et préparez dès maintenant la fenêtre d’installation avec votre prestataire, hors des heures de production.
Nos sauvegardes existantes sont-elles encore utilisables ?
Rien dans la fiche NVD n’indique que les copies déjà réalisées sont altérées. Le point d’attention est ailleurs : un serveur de sauvegarde dont les contrôles d’accès peuvent être contournés protège moins bien ce qu’il conserve. Faites tester une remise en service réelle par ceux qui administrent vos sauvegardes, et gardez une copie récente isolée du réseau.
Un antivirus ou un pare-feu nous met-il à l’abri ?
Non. Ces outils restent utiles : le pare-feu filtre les connexions qui entrent et sortent de votre réseau. Mais ils ne corrigent pas un défaut situé dans le logiciel lui-même; cela demande un correctif de l’éditeur, s’il est confirmé pour votre version. Réduire l’exposition du serveur de sauvegarde et limiter les comptes qui y accèdent rend ce scénario nettement plus difficile. Méfiez-vous de tout discours qui promet une protection totale : il n’existe pas de protection absolue.
Sources
- Fiche CVE-2026-108142 de la National Vulnerability Database · NIST, 27 octobre 2026
- Avis de sécurité (veeam.com) · veeam.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Centre canadien pour la cybersécurité : vue d’ensemble des menaces par rançongiciel de 2025 à 2027 · exposition de toutes les organisations canadiennes
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-108142
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
