<p>Le CERT-FR a publié le 5 août 2026 un avis sur plusieurs failles affectant Veeam Service Provider Console et Veeam ONE, dont des exécutions de...
Une sauvegarde n'a de valeur que le jour où l'on en a besoin. Ce jour-là, en général, quelque chose s'est déjà mal passé: un rançongiciel, une erreur de manipulation, un serveur qui ne redémarre plus. C'est pourquoi l'infrastructure de sauvegarde mérite un traitement à part: elle est le dernier recours, et un attaquant informé le sait aussi bien que vous.
Le CERT-FR a publié le 5 août 2026 un avis (référence CERTFR-2026-AVI-0968) signalant plusieurs vulnérabilités dans deux produits Veeam largement utilisés par les prestataires informatiques. Deux produits sont concernés: Veeam Service Provider Console, dans les versions antérieures à 9.3.0.35057; Veeam ONE, dans les versions antérieures à 13.1.0.7034.
Les failles recensées permettent, selon les cas, une exécution de code à distance, une élévation de privilèges, une injection SQL ou un déni de service. Dix identifiants CVE sont couverts par l'avis, parmi lesquels CVE-2026-58067 et CVE-2026-64630. Le CERT-FR ne fait état d'aucune exploitation confirmée à la date de publication de son avis — statut qui, comme toujours, peut évoluer et doit être revérifié à la source.
Ces deux outils sont moins connus que le produit de sauvegarde lui-même. La Service Provider Console est la console qu'un prestataire utilise pour piloter les sauvegardes de plusieurs clients; Veeam ONE sert à la supervision. Une petite entreprise peut donc être concernée sans avoir jamais entendu ces noms. C'est le filet de sécurité qui est visé. Un attaquant qui atteint la console de sauvegarde peut chercher à supprimer ou altérer les points de restauration avant de déclencher son chiffrement. La stratégie est connue et documentée depuis plusieurs années dans les attaques par rançongiciel. Vous ne gérez probablement pas ces serveurs vous-même. Si votre sauvegarde est infogérée, la console se trouve chez votre prestataire. Cela ne vous dispense pas de savoir dans quel état elle est: c'est votre capacité de reprise qui en dépend.
Une console mutualisée concerne plusieurs clients. Une Service Provider Console pilote par nature les sauvegardes de plusieurs entreprises. Le périmètre d'un incident dépasse alors une seule structure. La supervision est le point de vue depuis lequel on juge que « tout va bien ». Si l'outil de supervision est manipulable, le tableau vert n'est plus une garantie.
Ce qu'il faut faire
Poser la question par écrit à votre prestataire: votre sauvegarde s'appuie-t-elle sur Veeam Service Provider Console ou Veeam ONE, et dans quelles versions? Faire appliquer les correctifs de l'éditeur: Service Provider Console en 9.3.0.35057 ou ultérieure, Veeam ONE en 13.1.0.7034 ou ultérieure. Prévoir une fenêtre de maintenance et un point de retour arrière, et valider hors production lorsque c'est possible.
Vérifier que ces consoles ne sont pas accessibles depuis Internet. L'accès doit passer par un VPN ou être restreint à des adresses IP autorisées. Contrôler la règle des 3-2-1: trois copies des données, sur deux supports différents, dont une copie hors ligne ou immuable — c'est-à-dire une copie que la console elle-même ne peut pas effacer. C'est cette copie qui résiste à une compromission de l'outil de sauvegarde.
Tester une restauration réelle ce mois-ci, sur un fichier et sur un poste complet. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse. Noter la date de mise à jour dans votre registre de maintenance: cette traçabilité est utile en cas de sinistre, notamment vis-à-vis d'un assureur.
Les numéros de version cités sont donnés à titre indicatif et doivent être confirmés sur les bulletins de l'éditeur avant toute intervention en production. Deux questions suffisent à couvrir l'essentiel: mes sauvegardes reposent-elles sur ces produits, et si oui, à quelle date le correctif est-il appliqué? La troisième question est indépendante de cet avis mais reste la plus importante: existe-t-il une copie de mes données qu'aucune console d'administration ne peut supprimer? CERT-FR, avis CERTFR-2026-AVI-0968, « Multiples vulnérabilités dans les produits Veeam », publié le 5 août 2026. Veeam, bulletin de sécurité kb4892, publié le 29 juillet 2026.
Veeam, bulletin de sécurité kb4893, publié le 4 août 2026.
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 6 août 2026. Les versions et identifiants CVE proviennent de l'avis du CERT-FR et des bulletins de l'éditeur, sources concordantes. Aucune recherche web externe n'a été menée lors de la rédaction; l'absence d'exploitation confirmée est l'état connu au 6 août 2026 et doit être revérifiée sur la page de l'avis du CERT-FR.