# Vulnérabilités SQL Injection dans PowerSYSTEM Center de Subnet Solutions

_Publié le 3 novembre 2026 — https://ip73.fr/2026/11/03/vulnerabilites-sql-injection-dans-powersystem-center-de-subnet/_

Des failles d'injection SQL ont été identifiées dans le logiciel PowerSYSTEM Center de Subnet Solutions, menaçant les systèmes de contrôle industriel utilisés dans les secteurs de l'énergie et de la fabrication critique à travers le monde. Ces vulnérabilités, cataloguées sous les CVE-2026-63017 et CVE-2026-63774, pourraient permettre à un attaquant d'exécuter des commandes SQL non autorisées et d'accéder à des ressources internes si elles sont exploitées avec succès.

CISA, en collaboration avec les entités ayant signalé ces failles, informe que les versions les plus sensibles incluent PowerSYSTEM Center 2020 jusqu'à la version 5.29.x, ainsi que les séries 2024 (entre 6.0.x et 6.2.x) et 2026 (entre 7.0.x et 7.1.x). Le niveau de criticité de ces failles est évalué à CVSS v3.9.

## Ce qui est touché et la gravité réelle

L'impact principal concerne la capacité d'un acteur malveillant à manipuler la base de données sous-jacente du système. Le résumé de l'alerte précise qu'une exploitation réussie permettrait à l'attaquant d'exécuter des commandes SQL non autorisées, ouvrant ainsi une porte vers des privilèges accrus sur les ressources du système. Bien que CISA indique qu'aucun exploit public n'ait été rapporté à ce jour, la nature de l'injection SQL sur un système d'infrastructure critique ne doit pas être sous-estimée. Ces systèmes sont déployés mondialement, ciblant spécifiquement la fabrication critique et l'énergie.

Il faut distinguer ceci d'autres failles similaires. Par exemple, une vulnérabilité d'injection SQL signalée dans le Cisco Secure Email Gateway permettrait à un attaquant non authentifié de prendre le contrôle avec des droits *root* en envoyant un courriel falsifié, ce qui illustre la prévalence du risque d'injection dans les applications traitant des données externes.

## Que faire maintenant

Face à cette situation, les recommandations de CISA insistent sur une posture de défense en profondeur. La première mesure logique est de réduire au maximum l'exposition réseau de tous les dispositifs de contrôle. Les systèmes ne doivent pas être accessibles directement depuis l'Internet. Il est conseillé de positionner les réseaux de contrôle et les dispositifs distants derrière des pare-feu, en les isolant des réseaux d'entreprise classiques. Si l'accès à distance s'avère indispensable, l'usage de protocoles sécurisés comme les VPN est préconisé, tout en gardant à l'esprit que ces VPN eux-mêmes nécessitent une maintenance rigoureuse.

Au-delà des mesures techniques, CISA exhorte les organisations à effectuer une analyse d'impact et une évaluation des risques avant de déployer toute mesure défensive. Les mises à jour logicielles sont la voie attendue pour remédier aux failles. En attendant leur application, la vigilance reste de mise. CISA rappelle également aux utilisateurs de prendre des précautions contre les attaques par ingénierie sociale, notamment en ne cliquant pas sur des liens ou n'ouvrant pas de pièces jointes dans des courriels non sollicités.

## Sources

- [CSAF/csaf\_files/OT/white/2026/icsa-26-307-01.json at develop · cisagov/CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-307-01.json), github.com
- [Subnet Solutions PowerSYSTEM Center](https://www.cisa.gov/news-events/ics-advisories/icsa-26-307-01), CISA, 3 novembre 2026
- [Cisco Secure Email Gateway SQL Injection Vulnerability](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Cisco%20Secure%20Email%20Gateway%20SQL%20Injection%20Vulnerability%26vs_k=1), Cisco, 3 novembre 2026

## Crédits photo

- Image en une : [Layout and installation of control wires in a traction power substation in Queens. (49323704546)](https://commons.wikimedia.org/wiki/File:Layout_and_installation_of_control_wires_in_a_traction_power_substation_in_Queens._%2849323704546%29.jpg), par MTA Capital Construction Mega Projects, [CC BY 2.0](https://creativecommons.org/licenses/by/2.0), via Wikimedia Commons (recadrée)