Cybersécurité
PostgreSQL ODBC et la sécurité des connexions métier
Une base de données maintenue à jour peut encore être utilisée par un connecteur vulnérable. Le 2 novembre 2026, le projet PostgreSQL ODBC a publié psqlODBC 18.00.0006 pour corriger plusieurs problèmes de sécurité. Le CERT-FR a relayé l’information le 3 novembre. L’alerte mérite une vérification des postes et services qui accèdent aux données par ODBC. [1][2]
Par Laurent LOUIS-THERESE ·
Le périmètre exact de cette alerte
L’avis CERTFR-2026-AVI-1445 désigne les versions de PostgreSQL ODBC antérieures à 18.00.0006. Il mentionne notamment des risques d’injection SQL et de contournement de la politique de sécurité. Le correctif annoncé concerne le pilote psqlODBC. La seule présence d’un serveur PostgreSQL ne démontre donc pas que ce composant vulnérable est utilisé. [1][2] À l’inverse, mettre à jour le serveur de base de données ne remplace pas la mise à jour du pilote installé sur une autre machine. Il faut identifier le chemin réellement emprunté par chaque application pour déterminer les systèmes concernés.
Chercher le connecteur là où les données circulent
Notre recommandation est de partir des usages : tableaux de bord, exports, applications anciennes et passerelles vers les logiciels de gestion. Pour chacun, il convient de relever la machine d’exécution, le mode de connexion et la version du pilote chargé. Un poste utilisateur et un service exécuté sur un serveur peuvent employer des installations différentes. Un exemple de vérification consiste à suivre un rapport commercial depuis son lancement jusqu’à la base interrogée. Quel programme effectue la connexion ? Avec quel compte ? Sur quel poste le pilote est-il installé ? Ce parcours permet d’établir un inventaire exploitable, plutôt qu’une simple liste des serveurs PostgreSQL.
Mettre à jour et vérifier le fonctionnement réel
Nous préconisons de conserver la configuration de connexion et de prévoir un retour arrière maîtrisé avant d’installer le correctif adapté. Après la mise à jour, un test de connexion est nécessaire, mais il doit être complété par les opérations réellement utilisées : lecture, écriture lorsque celle-ci est autorisée, export et rafraîchissement des rapports. La gestion des droits mérite un contrôle au même moment. Un outil destiné à consulter des indicateurs devrait disposer uniquement des accès nécessaires. Cette mesure réduit les conséquences possibles d’un incident ; elle ne dispense pas d’appliquer les correctifs. Pour les entreprises de Martinique qui font communiquer plusieurs outils de gestion, cette alerte rappelle l’utilité d’un responsable identifié pour chaque liaison. L’inventaire doit inclure le connecteur, son propriétaire technique et la procédure de validation après maintenance. Une dépendance discrète devient ainsi un élément suivi du système d’information.
Votre ERP, vos tableaux de bord ou vos applications échangent des données avec PostgreSQL ? BCSIRT peut être votre interlocuteur pour examiner ces connexions et leur sécurité.
Sources