La faille qui a ouvert d'un coup les bases de données de milliers d'entreprises

Le 3 août 2026, un client signale à son fournisseur une clé d’accès créée sur son compte en dehors de toute heure ouvrée. Trois jours plus tard, l’éditeur publie une alerte : quelqu’un est entré par une porte que personne ne connaissait, et la gravité est notée 10 sur 10, le maximum de l’échelle. Ce n’est pas une histoire de logement connecté, et c’est pourtant exactement la même mécanique.

Un intermédiaire branché sur les bases de données des autres

L’outil s’appelle Metabase. Des milliers d’entreprises y raccordent leurs bases de données pour les consulter d’un seul écran, sous forme de graphiques et de tableaux. Pour faire ce travail, il conserve les identifiants de toutes ces bases. Sans que personne le lui ait confié explicitement, il tient donc la clé de tout ce qui est branché derrière.

La faille tenait au formulaire de mot de passe oublié, public par nature puisqu’il doit répondre à quelqu’un qui n’est pas encore connecté. Une requête bien tournée suffisait à s’y inscrire soi-même une session d’administrateur. Ensuite, tout suit : la configuration, les identifiants des bases raccordées, les données, et selon l’analyse publiée par l’éditeur, une clé d’accès créée pour télécharger les tables en masse. Pas un coup d’œil : une copie.

La preuve qu’elle a servi avant d’être connue

Ce n’est pas une hypothèse de chercheur. L’agence de cybersécurité de l’Union européenne référence la faille dans sa base publique sous EUVD-2026-55690, lui donne la note maximale et la marque comme activement exploitée depuis le 11 août 2026. Le même jour, l’agence américaine équivalente l’ajoute à son catalogue des failles exploitées, un registre où une faille n’entre que sur preuve d’attaque réelle. Sous son autre numéro, elle s’appelle CVE-2026-72898.

Les victimes l’ont dit elles-mêmes. Framework, un fabricant américain d’ordinateurs portables, a publié la liste de ce qui avait été consulté chez lui : des noms, des adresses électroniques, des numéros de téléphone, des adresses postales, et l’adresse depuis laquelle chaque client s’était connecté. Trois autres entreprises ont fait la même annonce dans les jours qui ont suivi, dont l’éditeur n8n et ses 136 enregistrements clients, cinq avec des mots de passe. Et sur environ 11 000 installations recensées sur internet, 4 309 étaient encore vulnérables au moment du scan.

Le même scénario, sur le cloud d’un fabricant de caméras

Remplacez les bases d’entreprises par des logements. Le cloud d’un fabricant de caméras occupe rigoureusement la même position : un point unique, joignable depuis n’importe où, placé devant les flux vidéo et les enregistrements de dizaines de milliers de foyers. Une faille au bon endroit n’ouvre pas une maison, elle les ouvre toutes en même temps. C’est ce que le détournement de centaines de milliers de caméras grand public en 2016 avait déjà montré, et ce que l’incident entre OpenAI et Hugging Face a rappelé cet été : quand une infrastructure partagée cède, elle cède pour tout le monde d’un coup.

Ce qui fuit n’est pas l’image, c’est la base derrière

Le réflexe, en lisant ça, est d’imaginer des vidéos volées ou des secrets industriels. Relisez plutôt la liste du fabricant d’ordinateurs : un nom, un téléphone, une adresse postale, l’adresse depuis laquelle le client s’est connecté. Rien de spectaculaire, tout d’utilisable, et c’est bien pour ça que ça se revend.

Transposez à un logement. La base d’un fabricant contient votre compte, votre adresse, l’historique des ouvertures de porte, les heures d’allumage des lumières, les huit jours où rien n’a été déclenché. Personne n’a besoin de vos images pour savoir qui vit là, à quelle heure vous rentrez et quand vous êtes partis. Les horaires suffisent, et ils sont dans la base, pas dans la vidéo.

Rien de tout cela n’a de raison de sortir du logement

C’est le point que je répète à chaque premier rendez-vous : une lampe qui s’allume à 19 h n’a aucune raison d’être enregistrée ailleurs que chez vous. Ni le volet qui descend, ni le capteur du couloir, ni la caméra du garage. Aucune de ces fonctions ne réclame un serveur distant. Un scénario, c’est une condition et une action : un boîtier posé dans le logement le fait très bien, et le fait même quand internet est coupé.

Si ces données partent quand même, ce n’est pas une nécessité technique, c’est un choix de modèle économique : l’abonnement mensuel, les statistiques d’usage, la valeur d’un parc installé. Le seul besoin réel qu’il prétend couvrir, c’est de voir sa maison quand on n’y est pas. Et ça se règle autrement : une liaison chiffrée de bout en bout entre votre téléphone et votre installation, sans aucune porte ouverte sur internet, sans compte partagé avec des millions d’autres. Les enregistrements restent chez vous, l’image vient à vous.

Soyons justes

L’éditeur s’est plutôt bien comporté : détection en trois jours, correctif dans la foulée, analyse technique rendue publique, moins de 3 % de ses clients hébergés touchés. Le reproche ne porte pas sur lui, il porte sur la forme de l’architecture : un intermédiaire unique devant les données de tout le monde est une cible dont la valeur croît avec le nombre de clients.

Une installation locale n’est pas invulnérable pour autant. Elle demande des mots de passe uniques, des mises à jour suivies, des objets connectés isolés du reste du réseau. La différence n’est pas l’absence de risque, c’est son échelle : un logement seul n’intéresse aucune attaque automatisée de masse, là où un hébergeur en vaut des milliers d’un coup.

Comment nous l’appliquons

Chez Velarys, le cerveau du logement est posé chez vous et les enregistrements n’en sortent pas. Les équipements connectés vivent sur leur propre réseau, isolés du reste, sans mot de passe d’usine ni port ouvert sur internet : c’est le sens de notre protection du réseau domestique. Et parce que rien ne dépend d’un serveur lointain, tout continue de fonctionner le jour où celui de quelqu’un d’autre tombe, ce que nous appelons l’indépendance et la continuité de service.