Une faille de sécurité dans N-central, le logiciel de gestion à distance de parcs informatiques publié par N-able, est cotée 9,3 sur 10 selon la fiche NVD. Si votre informatique est confiée à un prestataire, le geste utile cette semaine tient en une question écrite : quelle version utilisez-vous, et depuis quand ?
C’est quoi ?
Une faiblesse du logiciel N-central, répertoriée sous le numéro CVE-2026-125881, touche les versions précédant la 26.4.1 et permet d’amener le serveur à émettre des requêtes à la place d’un tiers.
La fiche de la National Vulnerability Database, le catalogue public des failles tenu par l’organisme américain NIST, décrit une falsification de requête côté serveur. Un serveur, c’est l’ordinateur central qui fait tourner le logiciel et qui, par son rôle, peut joindre des destinations internes fermées aux autres. Pensez au concierge d’un immeuble à logements : lui seul a les clés des locaux techniques. On lui transmet une demande qui n’aurait pas dû passer, et il s’en va frapper à une porte intérieure que personne d’autre ne peut atteindre. Ce qu’il en rapporte, la fiche ne le documente pas : le problème tient à la possibilité de l’envoyer ailleurs que prévu.
Pourquoi c’est grave ?
Le score est de 9,3 sur 10 selon la fiche NVD, attribué par l’organisme déclarant, et aucune exploitation n’est signalée à ce jour dans les fiches consultées.
Absence de signalement n’est pas absence de risque : les fiches consultées ne documentent que l’absence d’exploitation signalée, et ne disent rien d’un éventuel code d’exploitation public. La gravité vient surtout de la nature de l’outil : une console de gestion à distance administre les postes qu’elle surveille, c’est le trousseau de clés du prestataire. Ce que la fiche établit s’arrête toutefois à des requêtes émises par le serveur. Les suites redoutées (arrêt de travail, fuite de renseignements personnels, fraude au virement) supposent une compromission plus large, que rien ici ne documente : elles expliquent la priorité donnée au correctif, elles n’en découlent pas. Les fiches signalent par ailleurs une autre vulnérabilité du même produit publiée dans la même période, CVE-2026-125883.
Ça touche qui ?
N-central, de l’éditeur N-able, dans les versions antérieures à 26.4.1.
N-central sert à gérer à distance des parcs d’ordinateurs. Une entreprise du Québec peut donc être exposée sans connaître le nom du produit, si son fournisseur s’en sert pour entretenir ses postes. La fiche NVD situe le problème avant la version 26.4.1; elle ne détaille pas le correctif, et ce sont les mesures de l’avis de sécurité de N-able qui font référence.
Comment vérifier dans mon entreprise ?
Aucune manipulation technique de votre part : quelques questions écrites à votre prestataire, et une trace de ses réponses.
- Demander quelle version de N-central sert à gérer votre parc (direction, réponse du prestataire informatique).
- Obtenir par écrit la confirmation que la version 26.4.1 ou une version plus récente est installée, avec la date (direction).
- Faire préciser si la console de gestion est accessible depuis Internet et, le cas échéant, quelles restrictions encadrent cet accès (prestataire informatique).
Mise en situation
Exemple fictif : une clinique dentaire dont le prestataire informatique n’a pas appliqué le correctif.
La clinique ouvre un lundi matin, les postes de l’accueil ne répondent plus et les dossiers des patients du jour sont inaccessibles; les rendez-vous doivent être rappelés un par un. Le prestataire met la journée à comprendre que l’outil qui gérait les postes a servi de porte d’entrée. S’ensuivent une vérification de ce qui a pu être consulté, des avis aux patients concernés, et une semaine consacrée à la confiance de la clientèle plutôt qu’à la clinique.
Pourquoi la faille de sécurité dans N-central concerne les PME d’ici
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé oblige l’entreprise à tenir un registre des incidents de confidentialité. Lorsqu’un risque de préjudice sérieux existe, elle doit aussi notifier la Commission d’accès à l’information et les personnes concernées. Cette obligation appartient à l’entreprise, pas à son fournisseur. Le Centre canadien pour la cybersécurité fait de l’application rapide des correctifs un contrôle de base pour les petites et moyennes organisations. Confier son informatique à un tiers ne transfère pas ces obligations : demandez des preuves d’entretien.
Quoi faire maintenant
- Écrire cette semaine à votre prestataire pour connaître la version de N-central en service.
- Exiger par courriel la date d’installation de la version 26.4.1 ou d’une version plus récente.
- Faire restreindre l’accès à la console de gestion à ce qui est strictement nécessaire.
- Inscrire dans votre contrat de services la façon dont le fournisseur vous informe et applique les correctifs critiques.
- Consigner cette démarche dans votre dossier de sécurité, utile si un client ou un assureur pose la question.
FAQ
Nous n’utilisons pas ce logiciel nous-mêmes. Sommes-nous concernés ?
Possiblement. Si une firme externe entretient vos ordinateurs à distance, demandez-lui si N-central fait partie de ses outils et, si oui, dans quelle version. Nous ne pouvons pas présumer de ce qu’elle emploie : d’où la valeur d’une confirmation écrite.
Faut-il s’inquiéter si notre prestataire n’a pas encore répondu ?
Aucune exploitation n’est signalée à ce jour dans les fiches consultées. Nous ne nous prononcerons pas sur ce qu’un délai de réponse indiquerait. Demandez une réponse écrite, la version en service et un échéancier d’application du correctif, et conservez les échanges au dossier.
Une mise à jour suffit-elle à nous mettre à l’abri ?
Elle réduit fortement l’exposition à cette faille précise. Mais il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro : méfiez-vous de tout discours qui promet une protection totale. La protection réelle vient d’habitudes tenues dans le temps : correctifs appliqués, accès limités, sauvegardes testées, incidents consignés.
Sources
- Fiche CVE-2026-125881 de la National Vulnerability Database · NIST, 10 novembre 2026
- Avis de sécurité (me.n-able.com) · me.n-able.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-125881
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
