Commvault a publié le 8 septembre 2026 trois vulnérabilités notées CVSS 9.8, toutes exploitables sans authentification, sur trois composants distincts de la plateforme : le Command Center, le Content Extractor et le Private Metrics Server.
Versions corrigées : 11.36.123, 11.40.72, 11.44.20 et 11.46.20 selon la branche.
La sévérité individuelle n'est pas ce qui rend ce lot important. C'est la nature de la cible : une plateforme de sauvegarde est le seul système qui détient une copie de tout le reste, et c'est le premier système que tout opérateur de rançongiciel compétent cherche à neutraliser avant de déclencher le chiffrement.
Les trois CVE
| CVE | Composant | Nature |
|---|---|---|
| CVE-2026-77089 | Command Center API | Contournement d'authentification affectant la gestion des privilèges |
| CVE-2026-77092 | Content Extractor | Désérialisation de données non fiables |
| CVE-2026-77098 | Private Metrics Server | Injection SQL |
Les trois partagent : CVSS 9.8, vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, publication NVD le 2026-09-08.
Aucune n'est au catalogue CISA KEV à ce jour — il n'y a pas d'exploitation confirmée publiquement. Ce n'est pas une raison d'attendre : sur cette catégorie de produit, l'écart entre publication et exploitation est historiquement court, et Commvault a déjà fait l'objet d'ajouts au KEV par le passé.
Ce que disent les descriptions
Les libellés de l'éditeur sont laconiques — c'est la règle chez Commvault :
CVE-2026-77089 — Command Center API contained an authentication bypass issue affecting privilege management.
CVE-2026-77092 — Content Extractor contained a deserialization of untrusted data issue affecting privilege management.
CVE-2026-77098 — Private Metrics Server contained an SQL injection condition affecting database operations.
Pas de détail de mécanisme, pas d'indication de prérequis au-delà du vecteur CVSS. Je ne vais pas extrapoler ce que l'éditeur n'a pas publié. Ce que le vecteur dit avec certitude : réseau, complexité faible, aucun privilège, aucune interaction, impact complet sur la confidentialité, l'intégrité et la disponibilité.
Trois composants, trois surfaces
Ce qui mérite attention, c'est la répartition :
- Command Center est l'interface d'administration — la console depuis laquelle on pilote les politiques de sauvegarde et les restaurations. Un contournement d'authentification y donne le contrôle de la plateforme.
- Content Extractor traite le contenu des données sauvegardées pour l'indexation et la recherche. Une désérialisation non fiable dans un composant qui, par conception, traite des données arbitraires venant des systèmes sauvegardés, est une combinaison particulièrement inconfortable.
- Private Metrics Server collecte la télémétrie. C'est le composant le moins évident, et souvent le moins surveillé.
Trois composants indépendants touchés simultanément suggère une revue de sécurité coordonnée plutôt que trois découvertes isolées.
Versions
| Branche | Version corrigée |
|---|---|
| 11.36 | 11.36.123 |
| 11.40 | 11.40.72 |
| 11.44 | 11.44.20 |
| 11.46 | 11.46.20 |
Les trois CVE sont corrigées par les mêmes versions de maintenance — une seule mise à jour couvre l'ensemble.
Vérifier ta version :
Command Center → Gear icon → Maintenance → Version
Ou côté serveur CommServe :
# Windows
Get-ItemProperty "HKLM:\SOFTWARE\CommVault Systems\Galaxy\Instance001\Base" |
Select-Object sProductVersion, sPatchVersion
# Linux
cat /opt/commvault/Base/CVVersionInfo.xml 2>/dev/null | grep -i version
Pourquoi une plateforme de sauvegarde est une cible prioritaire
L'ordre des opérations d'une attaque par rançongiciel
Le déroulé est stable depuis des années, et la sauvegarde y arrive tôt :
- Accès initial
- Reconnaissance — identification de la solution de sauvegarde
- Escalade de privilèges
- Neutralisation des sauvegardes : suppression des points de restauration, modification des politiques de rétention, chiffrement ou effacement des dépôts
- Exfiltration des données
- Chiffrement, puis demande de rançon
L'étape 4 précède le chiffrement parce que c'est elle qui détermine si la victime paiera. Une organisation avec des sauvegardes intactes restaure ; une organisation dont les sauvegardes ont été détruites négocie.
Ces trois CVE offrent un accès direct à l'étape 4, sans passer par les étapes 1 à 3.
Ce que contient réellement la plateforme
Une console de sauvegarde compromise donne bien plus que la capacité de détruire :
- Accès en lecture à l'ensemble des données sauvegardées — c'est-à-dire à tout le système d'information, sans avoir à compromettre chaque serveur individuellement. La sauvegarde est le raccourci d'exfiltration idéal.
- Des identifiants privilégiés vers tous les systèmes protégés. Un agent de sauvegarde doit pouvoir lire l'intégralité d'un serveur : ces comptes sont, par nécessité, parmi les plus privilégiés du parc.
- La capacité de restaurer, donc d'écrire, sur les systèmes cibles — un vecteur de déploiement de charge utile rarement anticipé dans les analyses de risque.
Détection
Actions destructrices dans la plateforme
C'est le signal le plus important, parce que c'est l'objectif de l'attaquant :
- Suppression de jobs de sauvegarde ou de points de restauration
- Modification des politiques de rétention vers des durées plus courtes
- Suppression ou démontage de bibliothèques et de dépôts
- Désactivation de plans de sauvegarde
- Restaurations non corrélées à une demande — une restauration est aussi une exfiltration
Ces événements sont journalisés dans le Command Center (Reports → Audit Trail). Ils devraient tous générer une alerte : dans une organisation saine, la suppression d'un point de restauration est une opération rare et documentée.
Comptes et sessions
Command Center → Security → Users
- Comptes administrateurs inconnus
- Élévations de rôle récentes
- Connexions depuis des adresses inhabituelles, en particulier hors des heures ouvrées
- Jetons d'API créés sans demande
Journaux serveur
# CommServe
C:\Program Files\Commvault\ContentStore\Log Files\
Cherche les erreurs de désérialisation Java/.NET dans les journaux du Content Extractor, et les erreurs SQL anormales côté Private Metrics Server — les tentatives ratées laissent des traces avant les réussies.
Exposition réseau
# Depuis l'extérieur du réseau d'administration
nmap -Pn -p 80,443,8400,8403,81 <ip-commserve>
Le Command Center ne devrait être joignable que depuis un réseau d'administration restreint. Toute exposition plus large est un problème indépendamment de ces CVE.
Mitigation
1. Appliquer la version de maintenance de ta branche
Trois CVE 9.8 non authentifiées corrigées par une seule mise à jour : le rapport bénéfice/effort est rarement aussi favorable.
2. Isoler la plateforme de sauvegarde du réseau général
C'est la mesure structurelle, et elle vaut bien au-delà de ces trois CVE :
- VLAN d'administration dédié, inaccessible depuis les réseaux utilisateurs
- Aucune exposition Internet, jamais — ni le Command Center, ni les composants de collecte
- Accès administrateur via poste d'administration dédié, pas depuis un poste bureautique
3. Sauvegardes immuables et hors ligne
Aucun correctif ne remplace cette mesure. Une copie immuable — verrouillée en écriture pour une durée définie, que même un administrateur compromis ne peut pas supprimer — est ce qui transforme une compromission de la plateforme en incident récupérable.
La règle 3-2-1-1-0 reste la référence : 3 copies, 2 supports, 1 hors site, 1 immuable ou hors ligne, 0 erreur de vérification.
4. Authentification forte et séparation des comptes
Le compte qui administre la sauvegarde ne devrait pas être un compte d'administration de domaine, et l'authentification multifacteur devrait être obligatoire sur le Command Center.
5. Si tu suspectes une compromission
- Vérifie l'intégrité des points de restauration avant toute autre chose — c'est l'information qui conditionne toutes les décisions suivantes
- Isole la plateforme
- Fais tourner les identifiants des agents de sauvegarde : ce sont des comptes privilégiés sur l'ensemble du parc
- Audite le journal d'audit sur une fenêtre large — la neutralisation des sauvegardes précède parfois le chiffrement de plusieurs semaines
- Considère les données sauvegardées comme potentiellement exfiltrées, et traite les obligations de notification en conséquence
Pourquoi surveiller en continu votre infrastructure de sauvegarde
L'infrastructure de sauvegarde occupe une place particulière : elle est critique par définition, mais elle n'est presque jamais dans le périmètre des scans de vulnérabilités, parce qu'elle vit sur un réseau d'administration séparé que les outils de scan n'atteignent pas. Le résultat est un angle mort structurel sur le système qui détient une copie de tout le reste.
Avec cveo.tech, inventorie ta plateforme de sauvegarde et ses composants avec leur version exacte, et reçois une alerte automatique dès qu'une CVE critique en concerne un — indépendamment de la portée de tes scanners.