L\u2019Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (ANSSI) a r\u00e9v\u00e9l\u00e9 une faille critique dans le logiciel Metabase, exploit\u00e9e massivement depuis ao\u00fbt 2026. Cette vuln\u00e9rabilit\u00e9, not\u00e9e 10\/10 sur l\u2019\u00e9chelle CVSS, a permis \u00e0 des attaquants d\u2019acc\u00e9der \u00e0 des comptes administrateurs sans authentification, touchant m\u00eame l\u2019ANSSI elle-m\u00eame, charg\u00e9e de la cybers\u00e9curit\u00e9 de l\u2019\u00c9tat. Une ironie cruelle, qui soul\u00e8ve des questions sur la protection des institutions les plus sensibles.<\/p>\n
Metabase, un outil open source de business intelligence, est utilis\u00e9 par de nombreuses administrations. La faille r\u00e9side dans une injection SQL via la fonction de r\u00e9initialisation de mot de passe. Cette vuln\u00e9rabilit\u00e9 a permis \u00e0 des pirates de cr\u00e9er des comptes administrateurs et d\u2019acc\u00e9der \u00e0 des donn\u00e9es sensibles, comme des identifiants, des mots de passe hach\u00e9s et des statistiques. Au laboratoire d\u2019innovation de l\u2019ANSSI, 118 comptes ont \u00e9t\u00e9 compromis, dont une trentaine appartenant \u00e0 des tiers. La Dinum, elle, a \u00e9galement \u00e9t\u00e9 touch\u00e9e, avec des donn\u00e9es administratives d\u00e9rob\u00e9es, bien que certaines soient d\u00e9j\u00e0 publiques.<\/p>\n
La faille n\u2019a pas \u00e9pargn\u00e9 d\u2019autres acteurs. Shipup, Z\u00e9ro Logement Vacant et des services de cryptomonnaies ont \u00e9galement \u00e9t\u00e9 affect\u00e9s. L\u2019ANSSI a r\u00e9agi rapidement en mettant \u00e0 jour ses instances Metabase, r\u00e9initialisant les mots de passe et d\u00e9sactivant les comptes inactifs. La Dinum a supprim\u00e9 les comptes cr\u00e9\u00e9s par les pirates et corrig\u00e9 les vuln\u00e9rabilit\u00e9s. Pourtant, 67 fuites de donn\u00e9es ont \u00e9t\u00e9 confirm\u00e9es, avec plus de 30 encore en cours d\u2019analyse.<\/p>\n
Cette crise intervient apr\u00e8s des fuites massives pr\u00e9c\u00e9dentes, qui ont pouss\u00e9 le Premier ministre \u00e0 lancer le dispositif REACTIV. Ce programme vise \u00e0 renforcer la r\u00e9ponse aux violations de donn\u00e9es, mais le bilan reste inqui\u00e9tant. La faille Metabase soul\u00e8ve des questions sur la s\u00e9curit\u00e9 des outils utilis\u00e9s par les administrations. Alors que la cybers\u00e9curit\u00e9 devient un enjeu vital, comment les institutions fran\u00e7aises pourront-elles \u00e9viter de nouveaux \u00e9pisodes de ce genre ?<\/p>\n