La faille Iperius Backup touche le logiciel de sauvegarde Iperius Backup 8.8.3, de l’éditeur Enter, et reçoit 9,3 sur 10 selon la fiche NVD du 11 novembre 2026. Si ce logiciel tourne chez vous, la version installée et les droits d’exécution sont à vérifier.
C’est quoi ?
Une personne qui a déjà un petit accès à un poste Windows où Iperius Backup 8.8.3 est installé peut y obtenir tous les droits.
Pensez au chalet qu’on ferme pour l’hiver : la porte avant est bien barrée, mais la clé du cabanon dort sous le paillasson, et ce cabanon contient le double de toutes les clés. Qui n’avait accès qu’à la remise entre partout, sans rien forcer. Le défaut CVE-2026-112174 suit cette mécanique, qu’on appelle élévation de privilèges locale. Selon la fiche NVD, l’interface du logiciel fonctionne avec des droits élevés, mal séparés des comptes ordinaires de la machine. Un compte limité emprunte alors ces droits et devient administrateur du poste, c’est-à-dire capable de tout lire et tout effacer. Le cas se présente, précise la fiche, quand le programme qui tourne en arrière-plan fonctionne en permanence avec des privilèges administrateur.
Pourquoi c’est grave ?
La note est de 9,3 sur 10 selon la fiche NVD, une gravité critique, et aucune exploitation n’y est signalée à ce jour.
Cette note suit la méthode CVSS 4.0, l’échelle internationale qui classe la gravité d’une faille de 0 à 10; elle a été attribuée par l’organisme déclarant, selon la fiche NVD. Une note élevée dit l’ampleur des dégâts possibles, pas la probabilité d’une attaque. Le risque reste potentiel, mais il vise un point sensible : ce logiciel garde vos copies de secours. Qui obtient les pleins droits sur un tel poste peut en lire le contenu, modifier les tâches de sauvegarde ou rendre les copies inutilisables.
Ça touche qui ?
Iperius Backup version 8.8.3, de l’éditeur Enter, sur des postes et serveurs Windows.
La fiche NVD nomme la version 8.8.3 et ne précise aucun correctif : cette information manque, d’où l’intérêt de la demander à l’éditeur. Nous ne disposons d’aucune donnée sur sa diffusion par secteur d’activité : toute idée de sa fréquence relèverait de l’hypothèse. Au Québec comme ailleurs au Canada, la question utile est concrète : ce logiciel est-il installé chez vous, dans quelle version, et qui a un compte sur le poste où il tourne?
Comment vérifier dans mon entreprise ?
Constater la version installée est simple; en revanche, nous recommandons de faire valider par votre prestataire tout changement de configuration avant de l’appliquer.
À constater, sans rien modifier :
- Iperius Backup est-il présent sur vos postes ou serveurs Windows, et dans quelle version.
- Quels comptes locaux, les comptes créés directement sur la machine, existent sur ces postes.
À faire valider par votre prestataire :
- Les droits avec lesquels les sauvegardes s’exécutent. Retirer des privilèges administrateur permanents peut empêcher des tâches de fonctionner : laissez votre prestataire évaluer, intervenir, puis vérifier que les sauvegardes passent toujours.
Mise en situation
Exemple fictif : un garage de quartier n’a pas revu la configuration de son logiciel de sauvegarde.
Le poste de l’atelier sert à tout le monde : bons de travail, commandes, dossiers des clients. Un compte sans droits particuliers y est resté ouvert pour la personne qui fait les remplacements. Un matin, les sauvegardes ne s’exécutent plus et la facturation refuse de s’ouvrir. La reprise dépend d’une copie de secours dont personne n’était certain.
Faille Iperius Backup : ce que ça change pour une organisation d’ici
Perdre la maîtrise d’un poste qui contient des dossiers de clients ou d’employés n’est pas qu’un ennui informatique. Au Québec, la loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité. Elle oblige aussi à aviser la Commission d’accès à l’information lorsqu’un incident présente un risque de préjudice sérieux. Il n’existe pas de protection absolue : ce que nous visons, c’est de rendre ce scénario nettement plus difficile.
Quoi faire maintenant
- Faire évaluer par votre prestataire les droits d’exécution des sauvegardes, et retirer les privilèges administrateur permanents non indispensables.
- Demander à l’éditeur Enter ou à votre fournisseur si un correctif existe, et le faire appliquer le cas échéant.
- Limiter les comptes locaux et les accès aux postes partagés où le logiciel est installé.
- Garder une sauvegarde hors ligne, soit une copie déconnectée du réseau, et tester la restauration en remettant quelques fichiers en place.
FAQ
Faut-il arrêter d’utiliser ce logiciel de sauvegarde ?
Non. La fiche NVD ne recommande pas d’abandonner le produit : elle décrit un défaut de séparation des droits dans la version 8.8.3. L’important est de savoir quelle version tourne chez vous et avec quels droits. Nous conseillons de continuer à sauvegarder, de faire valider ces points par votre prestataire et de garder une copie hors ligne testée.
Nous sommes une petite équipe, sommes-nous vraiment concernés ?
La question n’est pas de savoir si vous intéressez quelqu’un. Le scénario suppose un accès local avec de faibles privilèges, c’est-à-dire un compte ordinaire déjà présent sur la machine : entrer dans vos locaux ne suffit pas. Un poste de comptoir ou d’atelier partagé remplit cette condition. Être petit ne met pas automatiquement à l’abri; le Centre canadien pour la cybersécurité publie des contrôles de base pour les petites et moyennes organisations.
Un prestataire peut-il nous garantir que cela n’arrivera pas ?
Non, et un tel discours devrait vous alerter : aucun prestataire ne peut garantir un risque zéro. Méfiez-vous de toute promesse de protection totale. Ce que nous pouvons viser, c’est réduire fortement l’exposition : inventaire à jour, privilèges inutiles retirés, accès locaux limités, restaurations testées.
Sources
- Fiche CVE-2026-112174 de la National Vulnerability Database · NIST, 11 novembre 2026
- Avis de sécurité (incibe.es) · incibe.es
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-112174
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
