L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la direction interministérielle du Numérique (DINUM) ont subi une compromission liée à une vulnérabilité critique de Metabase, une plateforme d’analyse de données utilisée par les deux organismes. L’incident a notamment touché 118 comptes du laboratoire d’innovation de l’ANSSI et deux instances de la DINUM.
Une faille critique comme point d’entrée
Les hackers ont exploité une vulnérabilité de Metabase permettant sans authentification de réaliser une injection SQL et d’obtenir des privilèges administrateur sur l’instance concernée. Metabase a publié un correctif le 6 août 2026, tandis que le CERT-FR a ensuite alerté sur cette faille, référencée CVE-2026-72898, en précisant qu’il connaissait déjà de nombreuses compromissions d’instances vulnérables.
À l’ANSSI, la compromission a concerné 118 comptes utilisateurs de son laboratoire d’innovation, dont une trentaine appartenant à des utilisateurs externes. Les informations exposées comprennent notamment des statistiques d’utilisation, des identifiants, des adresses e-mail et des mots de passe sous forme hachée. L’incident concernait les instances Metabase du laboratoire et ne correspond pas à une intrusion dans l’ensemble du système d’information de l’agence rattachée au secrétariat général de la Défense et de la Sécurité nationale.
La DINUM a pour sa part identifié une compromission de deux instances Metabase utilisées pour ProConnect et Nuage-Public. Les données exfiltrées comprennent des informations administratives sur des organismes publics, des métadonnées liées à des contributions à des projets open source et des historiques de connexion anonymisés. La DINUM indique que les informations administratives concernées étaient déjà publiques.
Des mesures prises après la découverte
L’ANSSI a appliqué les correctifs sur ses instances Metabase, a réinitialisé les mots de passe de l’ensemble des comptes concernés et a désactivé les comptes restés inactifs pendant plus de trois mois. La DINUM a également corrigé les vulnérabilités et a supprimé les comptes malveillants créés lors de la compromission.
Cette affaire intervient dans un contexte de multiplication de piratages et autres violations de données touchant les administrations françaises, dont les impôts (DGFiP). Dans son point de situation, l’ANSSI indique avoir reçu 99 signalements de violations de données depuis le 1er août, dont 67 confirmés, dans le cadre de l’opération REACTIV lancée à la demande du gouvernement.
L’agence avait également publié la veille son rapport sur les cyberattaques visant la DGFiP. Ce document retrace les compromissions observées entre mai et août 2026 et détaille les mesures qui ont permis de mieux détecter ou prévenir les intrusions.
3 commentaires pour cet article :