En bref
- Le fait. Le 16 octobre 2026, Stormshield a publié une série d'avis de sécurité pour ses pare-feu Stormshield Network Security (SNS), complétés le 20 octobre. Les deux avis de sévérité haute concernent un déni de service à distance, sans authentification, du VPN SSL (STORM-2026-029) et une faille XSS stockée dans l'écran de suivi des journaux VPN (STORM-2026-030). Les correctifs sont disponibles pour toutes les branches maintenues. Aucune exploitation n'est signalée. Le CERT-FR a publié les avis CERTFR-2026-AVI-1339 (19 octobre) et CERTFR-2026-AVI-1345 (21 octobre).
- Êtes-vous concerné ? Oui, si votre réseau est protégé par un pare-feu Stormshield (gamme SN), en particulier si le VPN SSL est utilisé pour le télétravail.
- Quoi faire :
- demandez à votre prestataire de passer le pare-feu en 5.0.10, 4.8.20 LTSB ou 4.3.45 QS selon la branche utilisée (5.1.4 EA pour la branche 5.1) ;
- si votre parc est géré par Stormshield Management Center, faites-le passer en 3.9.3 ;
- pour les mises à jour manuelles de firmware, ne récupérez les fichiers que depuis l'espace MyStormshield.
- Urgence : haute, selon Stormshield (sévérité la plus élevée des avis publiés).
Détail technique
Versions (avis Stormshield) :
| Branche SNS | Versions concernées | Version à installer |
|---|---|---|
| 5.1 | 5.1.0 à 5.1.3 | 5.1.4 EA |
| 5.0 | 5.0.0 à 5.0.9 | 5.0.10 |
| 4.8 (LTSB) | 4.8.0 à 4.8.19 | 4.8.20 LTSB |
| 4.3 | 4.3.0 à 4.3.44 | 4.3.45 QS |
Avis SNS :
- STORM-2026-029 (CVE-2026-84732, haute) : un dépassement d'entier dans la gestion des retransmissions d'OpenVPN, utilisé par le VPN SSL, permet à un attaquant distant non authentifié de provoquer un déni de service. Aucun contournement ;
- STORM-2026-030 (CVE-2026-111088, haute) : certains champs des journaux ne sont pas filtrés dans l'écran de suivi du VPN SSL, ce qui permet une XSS stockée. Aucun contournement ;
- STORM-2026-031 (CVE-2026-111090, moyenne) : une erreur dans la vérification de signature peut faire accepter des fichiers de mise à jour de firmware ou de licence non authentiques. En attendant, Stormshield recommande de n'utiliser que ses serveurs MyStormshield et de vérifier l'empreinte SHA-256 de chaque fichier de mise à jour, publiée sur MyStormshield ;
- STORM-2026-032 (CVE-2026-113469, moyenne) : erreur similaire pour les mises à jour automatiques de données dynamiques (Active Update). Stormshield recommande de n'utiliser que ses serveurs officiels ou les miroirs SMC, en HTTPS ;
- STORM-2026-022 (CVE-2026-113465, moyenne) : XSS de type DOM dans l'interface d'administration, qui suppose qu'un administrateur connecté ouvre un lien piégé. Seules les branches 5.0 et 5.1 sont concernées ;
- STORM-2026-026 et STORM-2026-027 (CVE-2026-113808 et CVE-2026-113810, moyenne) : XSS stockées via le portail d'enrôlement, déclenchées lors de la validation par l'administrateur. La branche 4.3 n'est pas concernée par STORM-2026-027 ;
- STORM-2026-028 : failles du composant VPN IPsec strongSwan (CVE-2026-78123, CVE-2026-78124, CVE-2026-78129, CVE-2026-78130, CVE-2026-78131, CVE-2026-78135), pouvant entraîner un déni de service du VPN ou des fuites mémoire. Selon Stormshield, les pare-feu qui n'acceptent pas de connexions IKEv1 ne sont pas concernés par CVE-2026-78123, CVE-2026-78124 et CVE-2026-78129, et ceux qui n'acceptent pas l'authentification EAP ne le sont pas par CVE-2026-78135.
Stormshield Management Center. La version 3.9.3 corrige des failles de composants tiers : OpenSSL (STORM-2026-023), Node.js (STORM-2026-024) et PostgreSQL (STORM-2026-025).
KEV. Non : aucune de ces CVE ne figure au catalogue KEV de la CISA (version du 21 octobre 2026).
Vérifier sa version. Dans l'interface d'administration du pare-feu, le tableau de bord indique la version du firmware installée. Pour SMC, la version figure dans son interface d'administration.