Le CERT-FR a lancé le 10 septembre 2026 une alerte sur une faille critique de Metabase, corrigée par l'éditeur dès le 6 août. Un rappel concret : un correc
Le 10 septembre 2026, le CERT-FR, rattaché à l'ANSSI, a publié une alerte de sécurité concernant Metabase, un outil très répandu de tableaux de bord et d'analyse de données. Selon l'alerte, l'éditeur avait publié dès le 6 août 2026 un avis de sécurité portant sur une vulnérabilité critique permettant à un attaquant non authentifié de provoquer une injection SQL dans la base de données de l'application. Autrement dit, le correctif existait depuis plus d'un mois au moment où l'alerte nationale a été lancée.
Pourquoi cette affaire concerne aussi les PME
On pourrait croire que ce type d'outil ne concerne que les grandes organisations. En réalité, les logiciels de tableaux de bord, les extranets, les outils de gestion de projet ou les portails clients sont aujourd'hui installés partout, souvent par une équipe métier ou un prestataire, puis oubliés. Ils restent accessibles depuis internet, avec des droits étendus sur des données sensibles, et ne figurent dans aucune liste de mises à jour. C'est exactement ce type de situation qu'exploitent les attaquants : ils balaient internet à la recherche d'instances vulnérables, bien après la publication du correctif.
Un correctif non appliqué reste une porte ouverte
La leçon de cette alerte tient en une phrase : le délai entre la publication d'un correctif et son application est la période de plus grand risque. Pendant ce temps, la faille est documentée, donc connue de tous, y compris des groupes malveillants. Une politique de gestion des correctifs efficace repose sur trois piliers : connaître précisément son parc logiciel, y compris les applications exposées sur internet ; suivre les avis des éditeurs et du CERT-FR ; appliquer les correctifs critiques dans un délai court et documenté.
Mettre en place une routine simple
Pour une PME, il n'est pas nécessaire de déployer un dispositif complexe. Une routine hebdomadaire suffit souvent à réduire fortement le risque : vérifier les nouveaux avis de sécurité qui concernent les logiciels utilisés, planifier les mises à jour, contrôler qu'elles ont bien été appliquées et redémarrer les services concernés. Les applications exposées sur internet doivent être traitées en priorité, et celles qui ne servent plus doivent être désactivées.
Il faut aussi penser à l'après : si une application vulnérable est restée exposée longtemps, la mise à jour ne suffit pas toujours. Il est prudent de vérifier les journaux d'accès, de renouveler les mots de passe et les clés d'accès associés, et de contrôler qu'aucun compte inconnu n'a été créé.
L'intérêt de l'infogérance
C'est précisément le rôle d'un service d'infogérance : tenir l'inventaire à jour, surveiller les alertes, appliquer les correctifs selon un calendrier maîtrisé et rendre compte de ce qui a été fait. Le dirigeant n'a plus à se demander si ses outils sont à jour : il dispose d'un état clair et d'un interlocuteur responsable.
Être accompagné
Vous voulez faire le point sur votre situation ? Les équipes TICLIC vous accompagnent de l'audit à la mise en œuvre : découvrez notre offre Infogérance ou contactez-nous pour un premier échange.
Sources
Alertes de sécurité du CERT-FR (alerte Metabase publiée le 10 septembre 2026) — CERT-FR / ANSSI (2026-09-10)
Site du CERT-FR — alertes et bulletins — CERT-FR / ANSSI (2026-09-10)