Le 21 octobre 2026, NVD a publié CVE-2026-114119 : le logiciel de gestion de cabinet médical Bp Premier, de Best Practice Software, utilise un mot de passe administrateur Microsoft SQL Server codé en dur, identique sur toutes les installations, et qui ne peut pas être changé sans casser l'application.
Quiconque connaît ce mot de passe et atteint l'instance SQL Server d'un cabinet peut s'y connecter en sysadmin, contourner l'authentification de l'application et exécuter des commandes système en tant que SYSTEM. Pour un logiciel qui stocke des dossiers patients, c'est difficile de faire pire.
La vulnérabilité
| Champ | Valeur |
|---|---|
| CVE | CVE-2026-114119 |
| CVSS 3.1 (VulnCheck) | 9.8 (CRITICAL) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CVSS 4.0 (VulnCheck) | 9.3 (CRITICAL) |
| Type | Identifiants codés en dur (CWE-798) |
| Versions | Bp Premier avant 1.14.1.1128 |
| Publication NVD | 2026-10-21 |
| Statut NVD | Deferred (pas d'analyse NIST) |
Les scores sont ceux de VulnCheck (CNA). NVD a placé l'entrée en statut Deferred, sans configuration CPE. La CVE n'est pas au catalogue CISA KEV à la date de rédaction.
Pourquoi c'est grave
Trois propriétés se combinent, toutes citées par la description NVD :
- Le mot de passe est partagé entre toutes les installations. Il suffit qu'il soit extrait une fois, d'une seule installation, pour qu'il ouvre toutes les autres.
- Il ne peut pas être changé sans rendre l'application inutilisable. L'administrateur du cabinet n'a donc aucun moyen de corriger la situation par la configuration.
- Le compte est sysadmin, le rôle le plus élevé de SQL Server. Il donne accès à toutes les bases de l'instance et permet d'exécuter des commandes du système d'exploitation en tant que SYSTEM.
La description ne précise pas la technique d'exécution de commandes. Sur SQL Server, un sysadmin dispose classiquement de xp_cmdshell ou des tâches de l'agent SQL : c'est l'hypothèse la plus probable, pas un fait rapporté par NVD.
Seule condition : avoir un accès réseau à l'instance SQL Server. Dans un petit cabinet, le serveur SQL est souvent sur le même réseau que les postes, voire que le Wi-Fi. Un poste compromis par un simple hameçonnage suffit alors à atteindre la base.
Ce qu'implique l'accès SYSTEM
Un attaquant qui exécute des commandes en SYSTEM sur le serveur de base de données n'a pas seulement les données patients : il a la machine. C'est un point de départ idéal pour un rançongiciel, qui chiffrera la base et les sauvegardes locales. C'est une déduction, mais c'est exactement le schéma des attaques qui visent le secteur de la santé.
Versions affectées
| Produit | Versions affectées | Première version hors plage (description NVD) |
|---|---|---|
| Bp Premier | avant 1.14.1.1128 | 1.14.1.1128 |
Cette borne vient de la description NVD. Les références pointent vers les notes de version Bp Premier Oxford SP1 publiées par l'éditeur : vérifie-y la procédure de mise à jour et les éventuelles étapes manuelles (rotation du mot de passe SQL, par exemple) avant de considérer une installation comme corrigée.
Détection
- Version : vérifier la version de Bp Premier installée sur le serveur et les postes.
- Exposition réseau : identifier quelles machines peuvent joindre l'instance SQL Server (port TCP 1433 par défaut, ou port dynamique pour une instance nommée).
- Journaux SQL Server : connexions avec le compte de l'application depuis des machines qui ne sont pas des postes Bp Premier ; activation ou usage de
xp_cmdshell. - Système : processus lancés par le service SQL Server (
sqlservr.exe) verscmd.exeoupowershell.exe.
Mitigation
- Mettre à jour vers Bp Premier 1.14.1.1128 ou une version ultérieure, en suivant les notes de version de l'éditeur.
- Restreindre l'accès réseau à l'instance SQL Server : pare-feu Windows sur le serveur, en n'autorisant que les postes Bp Premier. C'est la seule mesure efficace tant que la mise à jour n'est pas faite, puisque le mot de passe ne peut pas être changé.
- Séparer le serveur et les postes cliniques du Wi-Fi invités et des équipements personnels.
- Vérifier les sauvegardes : au moins une copie hors ligne ou hors du domaine, que SYSTEM sur le serveur SQL ne peut pas atteindre.
- En cas de doute sur une compromission : traiter l'incident comme une violation potentielle de données de santé, avec les obligations de notification qui s'y rattachent.
Pourquoi surveiller en continu vos logiciels métiers
Un logiciel de cabinet médical n'apparaît dans aucun bulletin grand public, et sa CVE n'a pas été analysée par NIST. Elle n'arrive jusqu'à toi que si ta veille connaît le nom du logiciel.
Avec cveo.tech, inventorie aussi tes logiciels métiers, et reçois une alerte dès qu'une CVE les cite, même sans configuration CPE.