Cybersécurité
AXIS Camera Station Pro : la faille qui dort dans vos sauvegardes
Le 28 octobre, Axis a publié un bulletin de sécurité sur son logiciel de gestion vidéo AXIS Camera Station Pro, relayé le jour même par le CERT-FR (avis CERTFR-2026-AVI-1408). La vulnérabilité, référencée CVE-2026-63286, est notée 7,1 sur 10. Pas de prise de contrôle des caméras à distance ici : le problème est plus discret, et c’est justement ce qui le rend intéressant.
Ce que dit le bulletin
Les sauvegardes de la base de données produites par les versions antérieures à la 6.20 ne sont pas suffisamment protégées : Axis classe la faiblesse en « chiffrement insuffisant » (CWE-326). Concrètement, quelqu’un qui met la main sur un fichier de sauvegarde peut l’attaquer tranquillement hors ligne et en extraire des informations sensibles. Axis indique ne connaître aucune exploitation et ne donne pas davantage de détails techniques, ce qui est de bonne guerre. La faille a été remontée par le programme de bug bounty du constructeur, ce qui est plutôt bon signe sur le sérieux de la démarche.
AXIS Camera Station 5 est également cité comme concerné, sans version corrigée annoncée à ce stade. Si vous avez encore des sites sur cette génération, c’est un argument de plus pour planifier la migration.
Pourquoi une simple mise à jour ne suffit pas
C’est le point qui va piéger beaucoup d’exploitants : les sauvegardes créées avant la mise à jour restent vulnérables après celle-ci. Pire, l’installation de la 6.20 génère elle-même une sauvegarde de récupération… qui est elle aussi concernée. Axis demande donc quatre actions, pas une seule :
- mettre à jour en AXIS Camera Station Pro 6.20 ;
- supprimer toutes les anciennes sauvegardes, y compris celle créée automatiquement par la mise à jour ;
- changer les identifiants enregistrés dans le logiciel (comptes des caméras, des enregistreurs, des intégrations) ;
- appliquer le guide de durcissement Axis pour protéger l’emplacement des sauvegardes.
Mon regard d’intégrateur
Une base de VMS, ce n’est pas qu’une liste de caméras. On y trouve les adresses IP, les comptes d’accès aux caméras, parfois les paramètres d’intégration avec le contrôle d’accès ou l’alarme. Bref, une très jolie carte du réseau de sûreté pour qui veut s’y promener. Et les sauvegardes, on les retrouve un peu partout : sur un NAS partagé, sur une clé USB laissée dans le serveur, dans le dossier de remise d’ouvrage du mainteneur… Je vous laisse imaginer l’inventaire 🙂
Mon conseil : profitez de cette mise à jour pour faire un vrai point sur la politique de sauvegarde de vos VMS. Où partent les fichiers ? Qui y a accès ? Combien de temps sont-ils conservés ? Le stockage de sauvegarde doit être aussi bien protégé que le serveur lui-même, idéalement sur un réseau de sûreté séparé et avec des droits restreints.
Le changement des identifiants est la partie la plus fastidieuse, surtout sur un parc de plusieurs dizaines de caméras. C’est aussi l’occasion de supprimer les comptes « root » par défaut encore utilisés par le VMS et de créer un compte de service dédié par caméra ou par groupe, avec le minimum de droits. Prévoyez une intervention planifiée plutôt qu’une manipulation à la volée, et vérifiez ensuite que tous les flux remontent correctement.
En résumé
Ce n’est pas une faille spectaculaire, mais elle rappelle une règle simple : une sauvegarde est une copie de vos secrets. Si vous exploitez ou maintenez des serveurs AXIS Camera Station Pro, passez en 6.20, faites le ménage dans les sauvegardes et renouvelez les mots de passe. Quatre actions, un après-midi de travail, et un risque en moins.