La faille Brotli CVE-2026-111497 atteint PAN-OS
Le CERT-FR (AVI-1396) confirme que PAN-OS et Prisma Cloud sont exposés à la faille du décodeur Brotli CVE-2026-111497. Plusieurs correctifs sont encore en attente.
La vulnérabilité du décodeur Brotli, CVE-2026-111497, touche désormais PAN-OS et le client Prisma Cloud - Application Security Transporter. Le CERT-FR a publié le 27 octobre 2026 l'avis CERTFR-2026-AVI-1396, reprenant le bulletin Palo Alto Networks du 26 octobre. Les risques listés vont de l'atteinte à la confidentialité et à l'intégrité au déni de service à distance et à l'exécution de code arbitraire à distance.
Produits et versions affectés
- PAN-OS 11.2.x antérieures à 11.2.10-h17
- PAN-OS 12.1.x antérieures à 12.1.7-h11
- PAN-OS 12.2.x antérieures à 12.2.4-h1
- Prisma Cloud - Application Security Transporter Client antérieures à 0.2.9
Attention : le bulletin indique que plusieurs correctifs sont en attente de publication pour les branches 12.1.4-h13, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.13-h4 et 11.2.16-h1. Si votre version maintenue figure dans cette liste, le correctif n'est pas encore disponible.
Statut d'exploitation
L'avis CERT-FR ne mentionne aucune exploitation active. La gravité réelle de la faille Brotli fait par ailleurs débat : des chercheurs ont tempéré les premières alertes « critiques » autour de ce défaut. Cela dit, Brotli étant décodé sur des chemins réseau exposés dans PAN-OS, le risque pour un équipement de bordure n'est pas théorique — à traiter selon votre exposition, pas selon le niveau de buzz.
Que faire
- Appliquez les versions PAN-OS corrigées disponibles (11.2.10-h17, 12.1.7-h11, 12.2.4-h1) et mettez à jour le client Prisma Cloud AST en 0.2.9.
- Si votre branche attend encore son correctif, suivez le bulletin Palo Alto et planifiez la mise à jour dès publication ; en attendant, réduisez l'exposition des interfaces concernées.
- Surveillez les journaux pour tout plantage ou comportement anormal du service traitant la décompression Brotli (signe possible de tentative de DoS ou de corruption mémoire).
Contexte
C'est le même schéma que PHP2Shell côté interpréteur : une faille dans une bibliothèque largement embarquée se propage de produit en produit. Nous avions couvert CVE-2026-111497 côté Node.js et écosystème JavaScript ; PAN-OS rejoint la liste des produits qui héritent du défaut parce qu'ils décodent du Brotli. Pour les équipes qui opèrent des pare-feux Palo Alto, l'enjeu n'est pas de juger si la faille Brotli est « surcotée » dans l'absolu, mais de savoir sur quelles interfaces leur appliance la décode.