Stormshield Management Center : RCE CVE-2026-111497, correctif 3.9.4

Le CERT-FR a publié le 30 octobre 2026 l'avis CERTFR-2026-AVI-1429, qui répercute le bulletin éditeur STORM-2026-034. La vulnérabilité CVE-2026-111497 permet une exécution de code arbitraire à distance dans Stormshield Management Center (SMC), la console d'administration centralisée du parc de pare-feu SNS. Si vous exploitez SMC, planifiez la montée en version vers 3.9.4.

Versions concernées

• Stormshield Management Center antérieur à 3.9.4 — vulnérable.
• Stormshield Management Center 3.9.4 — première version non affectée, selon l'avis.

L'avis ne liste que CVE-2026-111497 et renvoie au bulletin Stormshield pour les correctifs. Aucun score CVSS n'est indiqué dans l'avis CERT-FR ; le risque retenu est l'exécution de code arbitraire à distance.

État d'exploitation

Aucune exploitation active ni PoC public n'est mentionné dans l'avis au 31 octobre 2026. C'est une fenêtre à exploiter, pas à attendre : le détail technique du bulletin éditeur n'est pas encore largement répercuté, et un correctif disponible avant toute campagne observée est le meilleur moment pour patcher sans précipitation.

Pourquoi SMC mérite une priorité

SMC n'est pas un pare-feu de bordure — c'est la console qui administre l'ensemble du parc. Un RCE sur ce plan de gestion est un point de pivot : l'accès à SMC, c'est potentiellement la main sur les politiques de filtrage, les configurations et les déploiements de tous les SNS qu'il pilote. Stormshield étant un fournisseur français largement déployé dans l'administration et les OIV, le périmètre concerné en France est loin d'être marginal. La console de gestion doit être traitée comme un actif de niveau administrateur de domaine, pas comme un outil secondaire.

Que faire

1. Monter SMC en 3.9.4 dès que la fenêtre de maintenance le permet, en priorité sur les instances dont l'interface est accessible au-delà d'un réseau d'administration restreint.
2. Vérifier l'exposition réseau de SMC. L'interface d'administration ne devrait être joignable que depuis un segment d'administration dédié ou via un bastion — jamais exposée directement à Internet.
3. Auditer les accès à la console : comptes, journaux d'authentification, et toute connexion inattendue sur la période récente.
4. Appliquer le bulletin STORM-2026-034 et suivre les éventuelles mises à jour du CERT-FR, l'avis pouvant être révisé si une exploitation est observée.

Contexte

Les consoles de gestion centralisée — SMC ici, mais le constat vaut pour tout gestionnaire de parc — concentrent le risque : une seule vulnérabilité y vaut un accès démultiplié sur les équipements administrés. Le réflexe utile dépasse ce correctif précis : segmenter l'accès au plan de gestion, le placer derrière un bastion, et le patcher avec la même urgence qu'un équipement de bordure, même en l'absence d'exploitation connue.