La faille Backup for Microsoft 365 concerne le logiciel de Veeam qui conserve des copies de vos courriels et de vos documents, et elle est notée 9,0 sur 10 selon la fiche NVD. Si votre entreprise s’en sert, faites vérifier cette semaine la version installée et l’avis de l’éditeur.
C’est quoi ?
Un défaut de sécurité qui permettrait à un compte déjà autorisé de lire et de modifier, sur le serveur de sauvegarde, des réglages qui ne le concernent pas. Ce compte pourrait aussi faire exécuter ses propres instructions par ce serveur.
Imaginez un garde-meuble où plusieurs commerçants louent chacun un espace: chacun a sa clé et ne devrait voir que son casier. Selon la fiche NVD, la vulnérabilité CVE-2026-106076 équivaut à ce qu’un locataire pourtant légitime puisse feuilleter le cahier du gérant, en changer les consignes, puis donner des ordres au personnel. Le cahier, c’est la base de données de configuration du serveur de sauvegarde. Les ordres correspondent à l’exécution de code à distance: faire tourner ses propres instructions sur une machine qu’on ne possède pas. Le point de départ, précise la fiche, est un compte authentifié, soit un compte dont l’identité a été vérifiée par le système, intervenant dans un transfert entre organisations. Lecture et modification peuvent franchir la cloison entre deux organisations distinctes.
Pourquoi c’est grave ?
La note est de 9,0 sur 10 selon la fiche NVD, attribuée par l’organisme déclarant (CNA). Aucune exploitation signalée dans les fiches consultées.
Ce qui est visé ici, c’est le filet de sécurité lui-même. Si les réglages ou les copies sont altérés, la journée où vous devez récupérer une boîte de courriels ou un dossier client, la restauration peut échouer ou ne ramener que des données incomplètes. S’ajoute le risque de fuite, puisque des données de configuration peuvent être lues d’un locataire à l’autre. Un point important: aucune exploitation signalée dans les fiches consultées, et aucune preuve de concept publique n’y est mentionnée.
Ça touche qui ?
Le produit est Veeam Backup for Microsoft 365, de l’éditeur Veeam. Les versions touchées et la version corrigée ne figurent pas dans les fiches consultées.
Ce logiciel sert aux organisations qui veulent leur propre copie des courriels, fichiers partagés et espaces de travail hébergés chez Microsoft. Les secteurs où il est déployé ne sont pas documentés dans les éléments dont nous disposons. Le scénario de transfert entre organisations est à envisager là où un même serveur sert plusieurs entités.
Comment vérifier dans mon entreprise ?
À établir: le produit est-il présent, dans quelle version, et qui a le droit d’y toucher.
- Faire confirmer si Veeam Backup for Microsoft 365 est utilisé, et dans quelle version (prestataire informatique ou responsable interne de l’informatique).
- Consulter l’avis de Veeam (KB4957) pour établir la version corrigée et fixer la date du correctif (prestataire, approbation de la direction).
- Limiter les comptes autorisés aux transferts entre organisations aux seules personnes qui en ont besoin (prestataire).
- Faire examiner les journaux du serveur, soit les historiques des activités enregistrées, et obtenir la preuve qu’une copie des sauvegardes existe ailleurs (direction).
Mise en situation
Exemple fictif : une clinique dentaire de quartier reporte le correctif de son serveur de sauvegarde, parce que l’agenda est plein.
Quelques semaines plus tard, un compte autorisé sur ce serveur est détourné. Les réglages des sauvegardes sont modifiés discrètement, personne ne le remarque. Un lundi matin, une boîte de courriels partagée devient inaccessible: les confirmations de rendez-vous et les échanges avec le laboratoire s’y trouvent. La restauration échoue, et la clinique passe la journée à reconstituer son horaire au téléphone.
Quoi faire maintenant
- Inventorier vos outils de sauvegarde et repérer si ce produit est en service.
- Consulter l’avis de Veeam (KB4957) pour confirmer la version corrigée, absente des fiches consultées.
- Planifier la mise à jour avec votre prestataire dès que l’éditeur confirme la version à installer.
- Restreindre les comptes autorisés aux transferts entre organisations et faire relire les historiques d’activité.
- Tester une restauration depuis une copie conservée ailleurs que sur le serveur concerné.
Ce que la faille Backup for Microsoft 365 change pour les entreprises d’ici
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité et, dans les cas sérieux, une notification à la Commission d’accès à l’information. Une sauvegarde sur laquelle on ne peut plus compter complique la reprise des opérations et la capacité de documenter ce qui s’est passé. Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro: corriger et contrôler les accès restent les gestes les plus utiles.
FAQ
Aucune attaque n’est signalée: puis-je attendre?
Aucune exploitation signalée dans les fiches consultées, et aucune preuve de concept publique n’y est mentionnée. Cela ne dit rien du risque: une note de 9,0 sur 10 selon la fiche NVD décrit un défaut sérieux, et l’état de l’exploitation peut changer sans préavis. Traitez le correctif comme une tempête annoncée à la météo: on ferme les volets avant, pas pendant.
Nous n’avons pas de service informatique. Par où commencer?
Commencez par une question simple à votre prestataire informatique: utilisons-nous Veeam Backup for Microsoft 365, et dans quelle version? Demandez ensuite une réponse écrite sur la version corrigée indiquée par l’éditeur. Les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité donnent une liste de points à couvrir, sans vocabulaire d’expert.
Nos sauvegardes sont dans le nuage. Sommes-nous à l’abri?
La faille décrite dans la fiche NVD concerne le serveur qui pilote vos sauvegardes, où qu’il se trouve. Une sauvegarde n’est utile que si elle est intacte et restaurable le jour venu. Faites confirmer qu’une copie existe hors du serveur touché et qu’une restauration a été testée récemment. Méfiez-vous de tout discours qui promet une protection totale: ces gestes rendent le scénario nettement plus difficile.
Sources
- Fiche CVE-2026-106076 de la National Vulnerability Database · NIST, 27 octobre 2026
- Avis de sécurité (veeam.com) · veeam.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-106076
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
