Le 30 septembre 2026, le CERT-FR a publié le premier point de situation de l’opération REACTIV, confiée à l’ANSSI par le Premier ministre le 1er septembre. Le document recense 99 violations de données portées à la connaissance de l’agence depuis le 1er août 2026, dont 67 confirmées. Parmi les vulnérabilités récurrentes, une faille Metabase occupe une place particulière : elle a permis de compromettre neuf instances au sein des ministères, dont celle du laboratoire d’innovation de l’ANSSI elle-même.
Une faille Metabase exploitée en masse dès août 2026
Metabase est un outil libre de tableaux de bord et d’exploration de données. On le connecte à une base, on prépare des requêtes, on partage des graphiques avec les équipes métier. Il plaît parce qu’il s’installe en une heure et que ses utilisateurs n’ont pas besoin de savoir écrire du SQL.
La vulnérabilité CVE-2026-72898 est une injection SQL exploitable sans authentification. D’après le point de situation du CERT-FR, elle ouvre l’accès à la base de données de l’application et permet d’obtenir les droits d’administrateur de l’instance. Next lui attribue un score CVSS de 10, le maximum de l’échelle. L’éditeur a publié un correctif le 6 août 2026 et conseillait, à défaut de mise à jour immédiate, de bloquer l’accès public au chemin de réinitialisation de mot de passe de l’application.
Le correctif existait donc. Le portail France VAE a malgré tout été compromis par cette faille le 8 août, et l’attaquant y a extrait l’ensemble des données des utilisateurs : identité, coordonnées, certifications, expériences, évaluations, financement des parcours.
L’ANSSI et la DINUM parmi les victimes
Le rapport détaille les incidents ministère par ministère. Au laboratoire d’innovation de l’ANSSI, 118 comptes utilisateurs Metabase ont été compromis, dont une trentaine de comptes externes. Les données exposées : statistiques d’utilisation, identifiants, adresses électroniques et mots de passe hachés. L’agence a mis à jour ses instances, renouvelé tous les mots de passe et désactivé les comptes inutilisés depuis plus de trois mois.
À la DINUM, deux instances liées à ProConnect et à Nuage-Public ont été atteintes ; les informations extraites étaient, selon le rapport, déjà publiques. La liste ne s’arrête pas là. Sur Qualicharge, la faille a permis l’extraction de 102 000 sessions de recharge et d’une centaine de comptes techniques. Pour Zéro Logement Vacant, plateforme utilisée par les collectivités pour contacter les propriétaires de logements vacants, le point d’entrée serait une instance Metabase et la violation concernerait 48 millions de propriétaires. Pour Docurba, la piste Metabase est privilégiée, sans être confirmée. Numerama est revenu en détail sur le fonctionnement de cette faille.
Pourquoi un outil de BI concentre autant de risque
Un outil de tableaux de bord est fait pour lire beaucoup de données, vite. Il dispose en général d’un compte de service avec des droits de lecture étendus sur une ou plusieurs bases de production. Quiconque prend la main sur l’instance hérite de ces droits, et il n’a plus besoin de chercher où sont les données : les requêtes sont déjà écrites et les connexions déjà configurées.
Ces outils arrivent souvent par une voie détournée. Un chef de projet data, un prestataire ou une direction qui veut suivre son activité installe l’outil sur un serveur loué, l’ouvre sur internet pour consulter les indicateurs en déplacement, puis plus personne ne s’en occupe. L’application ne figure ni dans la cartographie suivie par la DSI ni dans le registre des traitements. Dans un service de santé au travail, un tableau de bord sur les visites ou les avis d’aptitude peut puiser dans des données de santé. Dans une collectivité, il peut s’appuyer sur des fichiers d’usagers, d’agents ou de contribuables.
Ce que l’organisme doit vérifier après la faille Metabase
- L’inventaire : lister les outils de BI et de visualisation en service (Metabase, mais aussi les solutions équivalentes), qui les a installés, sur quel serveur, connectés à quelles bases.
- L’exposition : vérifier si l’interface répond depuis internet. Un outil à usage interne devrait n’être joignable que depuis le réseau de l’organisme ou un VPN authentifié.
- La version : contrôler que le correctif d’août 2026 est appliqué et que quelqu’un suit les avis de sécurité de l’éditeur. L’ANSSI a demandé à tous les ministères d’identifier leurs instances et de vérifier leur mise à jour ; la consigne vaut tout autant pour un établissement ou une collectivité.
- Les comptes : supprimer ceux qui ne servent plus, exiger une double authentification robuste. Le rapport REACTIV relève qu’un second facteur reçu par courriel a facilité plusieurs intrusions.
- Les droits du compte de service : limiter la connexion aux seules tables utiles, en lecture, et préférer une copie pseudonymisée à la base de production.
- La journalisation : conserver les journaux de connexion et de requêtes pour pouvoir établir, le jour venu, ce qui a été consulté.
Si une instance vulnérable est restée exposée entre début août et sa mise à jour, il faut raisonner comme si elle avait été compromise et faire analyser les journaux. Au sens de l’article 4.12 du RGPD, une violation ne suppose pas la preuve d’une extraction : un accès non autorisé suffit. L’article 33 impose alors une notification à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Dans tous les cas, l’incident doit être inscrit au registre interne des violations. Lorsque des mots de passe ou des données sensibles sont en cause, l’article 34 peut imposer d’informer directement les personnes, comme l’a fait France VAE.
Le registre des traitements mérite aussi une relecture. Un tableau de bord qui croise des données d’agents, d’adhérents ou d’usagers relève d’un traitement existant, ou en constitue un nouveau, avec ses destinataires, ses durées de conservation et ses mesures de sécurité. S’il porte sur des données de santé à grande échelle, la question de l’analyse d’impact se pose. Je la pose systématiquement quand un outil de pilotage se branche sur un logiciel métier.
DPO FRANCE, réseau national de DPO indépendants, aide les organismes à repérer ces applications hors radar, à qualifier une violation et à préparer la notification à la CNIL. DPO SUITE, le logiciel de conformité utilisé par le réseau, relie chaque logiciel aux traitements et aux sous-traitants concernés, et conserve la trace des incidents, des décisions prises et des preuves.
