Caméras IP et contrôle d’accès : 37 CVE rappellent que la sûreté fait partie du SI

Une caméra IP ne se résume pas à une optique fixée au plafond. Un système de vidéosurveillance comprend aussi des switches PoE, des enregistreurs, un logiciel de gestion vidéo ou VMS, des postes d’administration, des applications mobiles et parfois des services cloud. Le contrôle d’accès ajoute des contrôleurs de portes, des boîtiers d’entrées-sorties, des interphones et des lecteurs.

Tous ces équipements exécutent du logiciel, communiquent sur le réseau et possèdent un cycle de mises à jour. Ils font donc partie du système d’information, même lorsqu’ils sont achetés et exploités par les services généraux ou un prestataire de sûreté.

L’actualité GeoVision l’illustre clairement. Le 9 juillet 2026, Cisco Talos a récapitulé 14 avis de sécurité couvrant 37 CVE dans plusieurs composants de l’écosystème GeoVision. Les failles décrites incluent notamment des injections de commandes, des absences d’authentification, des élévations de privilèges, des débordements de mémoire et une protection insuffisante de certaines données d’authentification. Les correctifs existent ; le véritable enjeu pour une entreprise est de savoir si les produits concernés sont présents, qui les maintient et comment les mettre à jour sans interrompre la sûreté du site.

Ces 37 CVE ne signifient pas que toutes les caméras IP sont vulnérables, ni que chacune permet la même attaque. Elles fournissent en revanche un excellent test de maturité : une entreprise capable de répondre rapidement à cet avis dispose probablement d’un inventaire, d’une architecture segmentée et d’une maintenance organisée. Les autres découvrent souvent leur dépendance au système le jour d’un incident.

Le nombre attire l’attention, mais il faut le replacer dans son périmètre. Le récapitulatif de Cisco Talos rassemble des recherches menées sur plusieurs familles de produits et plusieurs surfaces d’attaque.

La vulnérabilité du serveur WebCam de GV-VMS est particulièrement parlante. L’avis GeoVision publié le 27 avril 2026 indique que les versions 20.0.2.0 et antérieures peuvent recevoir une requête HTTP spécialement conçue conduisant à une exécution de code arbitraire sans authentification. Le correctif est intégré à GV-VMS 20.0.2.10 ou version ultérieure.

D’autres avis atteignent des scores CVSS élevés, jusqu’à 10 pour certains cas. Un score aide à prioriser, mais il ne remplace pas l’analyse locale : un composant isolé et non utilisé n’a pas la même urgence qu’un VMS exposé à Internet, qu’un contrôleur accessible depuis le réseau bureautique ou qu’un poste opérateur utilisé quotidiennement.

Autre nuance importante : l’annonce concerne l’écosystème GeoVision étudié, pas l’ensemble du marché. L’enseignement généralisable porte sur la méthode de gestion, pas sur une conclusion selon laquelle toutes les marques partageraient ces 37 failles.

Les frontières historiques ne correspondent plus à l’architecture technique. La vidéosurveillance et le contrôle d’accès utilisent désormais les mêmes briques que les autres services numériques : Ethernet, PoE, DNS, NTP, comptes administrateurs, certificats, navigateurs, API, bases de données, stockage et accès distant.

Une installation peut donc produire plusieurs types d’impact.

Un VMS arrêté, un NVR saturé ou un contrôleur indisponible peut supprimer l’accès aux images en direct, interrompre l’enregistrement ou compliquer l’ouverture d’un site. Même sans vol de données, l’incident devient opérationnel : un agent ne peut plus lever un doute, une équipe ne retrouve pas une séquence et une porte peut passer dans un mode dégradé prévu pour la sécurité des personnes.

Les flux vidéo, les journaux de passages et les données d’administration sont sensibles. Une compromission peut permettre de comprendre les horaires d’occupation, d’observer des zones internes ou de récupérer des secrets réutilisables ailleurs. L’enjeu ne se limite donc pas à la confidentialité des images : il concerne aussi la connaissance du fonctionnement du site.

Une caméra ou un contrôleur compromis devient un hôte connecté, souvent allumé en permanence et rarement surveillé par les outils du parc informatique. Si le réseau est plat, cet hôte peut tenter de joindre des postes, des serveurs, des partages ou des interfaces d’administration. La segmentation sert précisément à limiter ce rayon d’action.

Une horloge incorrecte, des journaux conservés uniquement sur l’équipement ou des comptes partagés empêchent de reconstituer les actions. Sans sauvegarde de configuration ni procédure de collecte, une remise à zéro urgente peut aussi effacer les traces utiles.

L’ANSSI et le CNPP ont consacré un guide à la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection. Le sujet n’est donc pas périphérique : il associe architecture, mesures logiques et contraintes propres aux équipements de sûreté.

Toutes les plateformes de vidéosurveillance ne demandent pas de télécharger manuellement un firmware pour chaque caméra. Les solutions proposées par BoucheCousue simplifient cette maintenance.

Les caméras Cisco Meraki MV téléchargent et installent automatiquement les mises à jour planifiées depuis le Dashboard Meraki. Lorsqu’une version est disponible, la mise à niveau est programmée dans une fenêtre de maintenance configurable ; l’administrateur est prévenu et peut la replanifier ou l’annuler. La caméra continue à enregistrer pendant le téléchargement, puis redémarre brièvement pour appliquer le nouveau firmware.

Les caméras UniFi Protect bénéficient elles aussi d’une gestion centralisée des versions. UniFi permet d’activer les mises à jour automatiques, de choisir le canal de diffusion et de planifier leur exécution depuis Update Manager. BoucheCousue peut ainsi configurer le parc pour que les caméras UniFi maintiennent automatiquement leur firmware, sans intervention équipement par équipement.

Cette automatisation réduit le risque d’oublier une caméra, mais elle ne dispense pas de supervision. Il faut conserver un canal stable pour la production, choisir une fenêtre compatible avec l’activité, suivre les échecs éventuels et vérifier la version réellement appliquée. Pour les caméras tierces ajoutées à UniFi Protect via ONVIF, la mise à jour reste du ressort du constructeur d’origine : l’automatisation UniFi concerne les équipements UniFi gérés par la plateforme.

Cette checklist s’applique à une installation neuve comme à un parc existant. Elle doit couvrir tout le système, pas uniquement les équipements visibles dans les locaux.

Commencez par attribuer un propriétaire opérationnel. Qui valide une mise à jour du VMS ? Qui reçoit les avis de sécurité ? Qui possède les accès au portail constructeur ? Qui appelle l’installateur et qui accepte une interruption de service ?

Une matrice simple évite les renvois entre équipes : la sûreté définit le besoin métier, la DSI maîtrise le réseau et les identités, le mainteneur intervient sur les produits, et un responsable désigné arbitre la fenêtre de changement.

Le contrat doit préciser au minimum :

Une liste d’adresses IP ne suffit pas. Pour chaque actif, conservez au moins :

N’oubliez pas les composants moins visibles : plugins de lecture, postes de supervision, machines virtuelles, bases de données, passerelles, applications mobiles, comptes cloud, serveurs de licences et utilitaires de découverte. Dans l’affaire GeoVision, plusieurs vulnérabilités concernent précisément ces couches intermédiaires.

Le NIST place l’identification unique des équipements parmi les capacités fondamentales d’un objet connecté. Sans identifiant stable, l’entreprise ne peut pas relier une alerte à un modèle, une version et un emplacement pendant tout le cycle de vie.

Une fois l’inventaire établi, confrontez les versions installées aux bulletins du constructeur et aux avis de sécurité. Pour GeoVision, la page officielle de cybersécurité centralise les produits concernés et l’état des correctifs.

La réponse ne doit pas se limiter à « mise à jour automatique activée ». Vérifiez la version réellement exécutée après redémarrage. Certains composants se mettent à jour séparément : firmware d’une caméra, VMS, service web, client lourd, application mobile et plugin de lecture peuvent suivre des calendriers différents.

Pour un équipement critique :

Si aucun correctif n’existe, réduisez temporairement l’exposition : désactivation du service vulnérable, restriction par pare-feu, administration depuis un bastion, coupure de l’accès distant ou remplacement accéléré. Cette compensation doit avoir une date de réexamen.

Placez les équipements de sûreté dans un ou plusieurs VLAN dédiés plutôt que sur le même réseau que les postes utilisateurs. Une architecture réseau d’entreprise permet ensuite de contrôler les communications entre zones.

La segmentation utile ne consiste pas seulement à créer un numéro de VLAN. Il faut définir une matrice de flux :

Le reste doit être refusé par défaut. Une caméra n’a généralement aucune raison d’initier une connexion vers les postes bureautiques. Un contrôleur de porte ne devrait pas découvrir librement tous les serveurs. Le réseau d’administration peut aussi être séparé du réseau qui transporte les flux vidéo.

Le comportement réseau attendu doit être documenté avant d’appliquer des règles strictes. Cette caractérisation, également mise en avant par le NIST pour les objets connectés, permet d’autoriser les communications indispensables sans ouvrir tout le réseau « au cas où ».

Recherchez les redirections de ports, règles NAT, services UPnP, noms DNS publics et interfaces accessibles depuis Internet. Un VMS ou une caméra ne devrait pas être publié directement pour faciliter la consultation à distance.

L’accès externe doit passer par un mécanisme contrôlé : VPN d’entreprise, passerelle d’accès sécurisée ou service cloud conçu pour éviter une exposition entrante. Ajoutez une authentification multifacteur lorsque la solution le permet, limitez les comptes autorisés et conservez les journaux de connexion.

Attention aux accès « temporaires » laissés par un installateur. Une règle ouverte pour une recette ou une maintenance finit souvent par devenir permanente. L’audit doit inclure les comptes prestataires, les tunnels, les outils de télémaintenance et les applications mobiles, pas seulement le pare-feu principal.

Changez les mots de passe par défaut avant la mise en service. Supprimez ou désactivez les comptes inutiles, créez des comptes nominatifs pour les administrateurs et attribuez les droits minimaux. Les comptes génériques partagés empêchent d’identifier qui a exporté une vidéo ou changé une règle d’accès.

Lorsque le produit le permet :

Le durcissement doit inclure le serveur, le navigateur et le poste opérateur. Une faille dans un lecteur web peut viser l’ordinateur qui ouvre un fichier ou une page, même si la caméra elle-même n’est pas directement attaquée.

Le VMS concentre les images, les droits, les événements et parfois les connexions vers tous les équipements. Sa compromission peut avoir plus d’impact que celle d’une caméra isolée. La vidéosurveillance professionnelle doit donc intégrer l’exploitation du serveur dans sa conception.

Vérifiez :

Sauvegarder uniquement les vidéos ne suffit pas. En cas de panne, il faut pouvoir restaurer la configuration des caméras, les cartes, les droits, les règles d’alerte et les paramètres d’enregistrement. À l’inverse, une copie de configuration ne remplace pas une stratégie de conservation des séquences nécessaires à l’activité.

Une installation peut continuer à afficher quelques images tout en ayant perdu une caméra, un disque ou une fonction d’alerte. La supervision doit donc contrôler les composants et la chaîne complète : alimentation PoE, disponibilité, stockage, enregistrement, horloge, certificats, journaux et remontée d’événements.

Définissez les alertes qui exigent une action et leur destinataire. Testez régulièrement un scénario concret : retrouver une séquence, restaurer une configuration, remplacer une caméra, révoquer un compte prestataire ou basculer vers le fonctionnement dégradé prévu.

Le plan d’incident doit préciser comment isoler un équipement sans compromettre la sécurité des personnes. Couper brutalement un contrôleur de porte n’est pas l’équivalent de débrancher une imprimante. La procédure doit être préparée avec le responsable sûreté et tenir compte du comportement des accès en cas de perte du réseau ou de l’alimentation.

Toutes les corrections ne peuvent pas être menées en même temps. Une matrice simple permet de sortir d’une priorisation fondée uniquement sur le score CVSS.

Commencez par les composants exposés, les serveurs centraux et les vulnérabilités exploitables sans authentification. Viennent ensuite les équipements accessibles depuis des zones peu fiables, puis les composants isolés pour lesquels une mesure compensatoire est déjà en place.

Si des produits GeoVision figurent dans le parc, vérifiez les modèles et versions exacts avant toute action. Le récapitulatif Talos et les avis GeoVision donnent le périmètre technique ; ils ne justifient pas une mise à jour improvisée sur un système de production sans sauvegarde ni test.

Ce plan est volontairement indépendant d’une marque. GeoVision déclenche la vérification cette fois-ci ; le prochain avis pourra concerner une caméra, un interphone, un NVR, un plugin ou un contrôleur d’un autre constructeur.

La cybersécurité ne doit pas être ajoutée après la recette. Pour une nouvelle installation de contrôle d’accès professionnel, demandez dès l’appel d’offres :

Ces exigences influencent le choix du matériel autant que la résolution d’image, le type de lecteur ou l’esthétique de l’interphone. Elles réduisent aussi le coût caché d’un remplacement précipité lorsque le produit arrive en fin de support.

Vous voulez inventorier les équipements, vérifier les versions, isoler les flux et clarifier la maintenance sans fragiliser l’exploitation du site ? Contactez BoucheCousue pour auditer la chaîne complète, du réseau PoE au VMS.