Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 28 octobre 2026 une vulnérabilité affectant Axis Camera Station Pro avant la version 6.20. Référencée CVE-2026-63286, elle concerne la protection des sauvegardes de la base de données du logiciel de gestion vidéo et expose des informations sensibles à une attaque menée sur une copie de ces fichiers.
Une vulnérabilité qui concerne les sauvegardes, pas seulement le logiciel installé
Dans son avis CERTFR-2026-AVI-1408, le CERT-FR classe le risque parmi les atteintes à la confidentialité des données et renvoie au bulletin de l’éditeur pour les mesures correctives. Le problème tient à la possibilité de mener une attaque hors ligne contre des sauvegardes de bases de données créées avec une version vulnérable.
Selon le registre de sécurité d’Axis Communications, la faille est évaluée à 7,1 sur 10 selon l’échelle CVSS, soit un niveau de gravité élevé. Axis identifie Camera Station Pro 6.20 comme la version apportant la correction. L’exploitation décrite suppose de disposer d’une sauvegarde exposée : l’avis ne décrit pas une prise de contrôle à distance des caméras par une simple connexion à Internet.
Mettre à jour ne suffit pas à sécuriser les anciennes copies
Le point le plus délicat concerne les fichiers déjà produits. La fiche CVE-2026-63286, attribuée par Axis, précise que les sauvegardes créées avant la version corrigée demeurent vulnérables après la mise à jour. Le programme crée également une sauvegarde de récupération supplémentaire lors de cette opération, elle aussi concernée.
L’éditeur demande donc de supprimer les anciennes sauvegardes vulnérables, y compris cette copie de récupération, et de renouveler les identifiants enregistrés dans Axis Camera Station Pro. Pour les exploitants, cette opération suppose de repérer les copies conservées sur les serveurs et supports de sauvegarde, puis d’organiser leur retrait dans le respect des obligations de conservation applicables.
Cette distinction entre correctif logiciel et traitement des données historiques est déterminante pour les responsables de la sécurité des systèmes d’information. Une installation passée en version 6.20 peut encore conserver des fichiers produits dans des conditions de protection insuffisantes. Le CERT-FR recommande de se référer aux instructions d’Axis pour appliquer les corrections et vérifier les versions concernées.
