Les pare-feu français Stormshield pouvaient accepter des mises à jour non authentifiées

Comment un pare-feu sait-il qu'une mise à jour vient bien de son éditeur ? En vérifiant sa signature numérique. Sur les pare-feu Stormshield Network Security (SNS), très présents dans les administrations et les entreprises françaises, cette vérification comportait des erreurs de logique. L'éditeur les a corrigées dans des bulletins publiés le 16 octobre. Le CERT-FR, le centre d'alerte gouvernemental, les a repris dans un avis le 19 octobre.

Les versions corrigées sont la 5.0.10, la 5.1.4 EA et la 4.8.20 LTSB (la branche à support long). Toutes les versions antérieures de ces branches sont touchées. Stormshield ne mentionne aucune exploitation par des pirates, mais indique qu'un code de démonstration existe pour les failles décrites.

Des fichiers de mise à jour acceptés sans preuve d'origine

La faille CVE-2026-111090 (bulletin STORM-2026-031) est la plus parlante. Une erreur dans la routine de vérification de signature conduit le pare-feu à accepter des fichiers de mise à jour et de licence non authentifiés. Stormshield la classe en gravité moyenne. Selon le vecteur de notation publié par l'éditeur, l'attaque se fait en local et suppose une action d'un utilisateur. Comme contournement, Stormshield recommande de ne récupérer les fichiers de mise à jour et de licence que sur les serveurs MyStormshield.

Le bulletin STORM-2026-032 décrit le même type d'erreur dans Active Update, la fonction qui télécharge automatiquement les données dynamiques du pare-feu. Des mises à jour non authentifiées pouvaient passer. L'attaquant doit cependant se trouver sur un réseau voisin, et l'attaque est jugée complexe. Ces deux failles touchent aussi la branche 4.3, pour laquelle aucun correctif n'est indiqué.

Une troisième faille vise l'administrateur, une quatrième reste sous embargo

Le bulletin STORM-2026-022 concerne l'interface web d'administration des versions 5.0 et 5.1. Il s'agit d'une faille de type XSS, qui permet d'exécuter du code dans le navigateur. Elle est exploitable si un administrateur connecté ouvre un lien piégé. Il n'existe pas de contournement.

Le CERT-FR cite enfin un quatrième bulletin, STORM-2026-030. Stormshield le classe en gravité élevée, mais n'en publie encore ni la description ni les versions touchées. La page indique que le bulletin sera publié dès que toutes les conditions d'embargo seront levées.

Que faire ?

Après les mises à jour piégées du logiciel AOMEI, ces failles rappellent que le canal de mise à jour est une cible à part entière :

• Passez en 5.0.10, 5.1.4 EA ou 4.8.20 LTSB selon votre branche.
• Si vous êtes encore en 4.3, planifiez la montée de version : aucun correctif n'est annoncé pour cette branche.
• En attendant, ne récupérez les fichiers de mise à jour et de licence que sur le portail MyStormshield. Comparez leur empreinte SHA-256 avec celle publiée sur ce portail.
• Pour Active Update, utilisez les serveurs officiels ou des miroirs SMC, en HTTPS. Sur un serveur de mise à jour personnalisé, activez HTTPS et vérifiez les empreintes des fichiers hébergés.
• Évitez d'ouvrir des liens reçus pendant une session d'administration du pare-feu.

La prochaine étape sera la publication du bulletin encore sous embargo. Il faudra vérifier si les versions déjà corrigées le couvrent bien.