Skip to content
Hacker Posts

Stormshield : 19 CVE corrigées sur SNS et SMC (CERTFR-2026-AVI-1345)

Le CERT-FR relaie 19 vulnérabilités dans Stormshield SNS et SMC, dont exécution de code et déni de service. Correctifs en SNS 5.1.4 EA / 5.0.10 / 4.8.20 LTSB / 4.3.45 QS et SMC 3.9.3.

Publié le 3 min de lecture
stormshieldalertecert-frfirewallcve

Le CERT-FR a publié le 21 octobre l'avis CERTFR-2026-AVI-1345, qui relaie 19 vulnérabilités dans les produits Stormshield — pare-feux SNS et console d'administration SMC, largement déployés dans les administrations et les OIV français. L'avis renvoie à sept bulletins de l'éditeur, STORM-2026-023 à STORM-2026-029, datés des 16 et 20 octobre.

Versions concernées

D'après le CERT-FR, les versions affectées et les premières versions corrigées :

  • Stormshield Management Center (SMC) : branches 3.9.x antérieures à 3.9.3
  • Stormshield Network Security (SNS) 4.3.x antérieures à 4.3.45 QS
  • SNS 4.8.x antérieures à 4.8.20 LTSB
  • SNS 5.0.x antérieures à 5.0.10
  • SNS 5.1.x antérieures à 5.1.4 EA

Nature des failles

Le CERT-FR ne publie ni score CVSS ni niveau de gravité global, mais liste les risques : exécution de code arbitraire à distance, déni de service à distance, atteinte à la confidentialité des données, contournement de la politique de sécurité, injection de code indirecte à distance (XSS) et injection SQL.

Le bulletin éditeur donne le détail là où le CERT-FR reste synthétique. Exemple avec CVE-2026-113808 (STORM-2026-026) : un XSS stocké dans le portail d'enrôlement SNS, score de base 7.1 (AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H), global 6.4. Un attaquant injecte un script via la requête de création d'utilisateur du portail captif ; il s'exécute lorsqu'un administrateur valide la demande.

Les 19 identifiants listés par l'avis : CVE-2026-113808, CVE-2026-113810, CVE-2026-14666, CVE-2026-15741, CVE-2026-18408, CVE-2026-34181, CVE-2026-42768, CVE-2026-45447, CVE-2026-48931, CVE-2026-56850, CVE-2026-58040, CVE-2026-58045, CVE-2026-78123, CVE-2026-78124, CVE-2026-78129, CVE-2026-78130, CVE-2026-78131, CVE-2026-78135 et CVE-2026-84732.

Que faire

  1. Recensez la version exacte de chaque équipement SNS et de chaque instance SMC, y compris les nœuds de cluster et les appliances virtuelles.
  2. Mettez à jour vers 5.1.4 EA, 5.0.10, 4.8.20 LTSB ou 4.3.45 QS selon votre branche SNS, et SMC vers 3.9.3.
  3. Priorisez les équipements exposés en bordure : un pare-feu est par définition sur le chemin de l'attaquant, et la liste inclut de l'exécution de code à distance.
  4. Choisissez la branche en fonction de votre cycle de maintenance — LTSB pour le support long, EA pour les versions d'accès anticipé — plutôt que de sauter de branche dans l'urgence.
  5. Lisez les bulletins STORM-2026-023 à 029 pour la correspondance CVE ↔ composant et les éventuelles mesures de contournement avant mise à jour.

Contexte

Un lot de 19 CVE sur une gamme de pare-feux n'est pas un évènement rare — Stormshield publie régulièrement ce type de salves groupées — mais la cible change l'arbitrage. Il s'agit d'équipements de sécurité en coupure, souvent qualifiés pour des environnements régulés, et qui concentrent la confiance du périmètre. Une faille d'exécution de code sur l'appliance qui est censée filtrer le reste du réseau se traite comme prioritaire, indépendamment du score affiché. L'absence de mention d'exploitation ne change pas le calendrier : les correctifs sont disponibles, appliquez-les.

Articles liés