<p>Le CERT-FR a publié le 14 août 2026 un avis sur plusieurs vulnérabilités des pare-feu Stormshield SNS, dont certaines permettent une exécution de...
Le pare-feu est l'un des rares équipements informatiques qu'une PME installe une fois et oublie ensuite. Il fonctionne, personne ne le touche, et les années passent. L'avis publié par le CERT-FR le 14 août 2026 sur les pare-feu Stormshield Network Security est une bonne occasion de rouvrir ce dossier. Dans son avis CERTFR-2026-AVI-1021, le centre gouvernemental de veille recense plusieurs vulnérabilités affectant les boîtiers Stormshield SNS, une marque française très présente dans les petites et moyennes structures. Neuf identifiants CVE sont cités, parmi lesquels CVE-2026-35328, CVE-2026-35330 et CVE-2026-47895.
Les conséquences décrites vont de l'exécution de code arbitraire à distance à l'interruption de service, en passant par une atteinte à la confidentialité des données. Autrement dit: dans le pire des cas, un attaquant pourrait prendre la main sur l'équipement qui protège l'ensemble de votre réseau, sans avoir besoin d'un accès préalable à vos locaux.
Les versions correctives indiquées par l'éditeur sont SNS 3.7.45, 4.3.44, 4.8.18, 5.0.8 et 5.1.2, selon la branche installée. À la date de publication de l'avis, le CERT-FR ne fait pas état d'exploitation confirmée de ces failles; ce statut est susceptible d'évoluer et doit être revérifié sur la page de l'avis. Le détail qui mérite l'attention d'un dirigeant n'est pas la liste des CVE, mais celle des branches concernées. Elle remonte jusqu'aux versions 3.7.x et 3.11.x. Ces numéros correspondent à des équipements déployés il y a plusieurs années, souvent lors d'un projet ponctuel, et qui ne figurent plus dans aucun plan de maintenance actif.
Un pare-feu est par construction exposé à Internet: c'est sa fonction. Cette exposition permanente change la nature du risque. Une faille sur un logiciel de bureau suppose qu'un utilisateur ouvre un fichier; une faille sur un pare-feu peut être cherchée depuis l'extérieur, en continu, par des outils automatisés qui balaient les adresses publiques. Un équipement en fin de vie qui reste branché ne se contente pas de vieillir: il devient une porte d'entrée dont plus personne ne surveille la serrure.
Ce que vous pouvez demander cette semaine
Ces vérifications ne demandent pas de compétence technique particulière de votre part. Elles demandent surtout de poser les bonnes questions à la bonne personne, et d'obtenir des réponses écrites.
Identifiez l'équipement. Demandez à votre prestataire la marque, le modèle et la version exacte du firmware de votre pare-feu. S'il s'agit d'un Stormshield SNS, comparez avec les versions correctives listées ci-dessus. Faites appliquer la mise à jour correspondant à votre branche. Prévoyez une brève interruption d'accès à Internet et positionnez l'intervention en dehors des heures d'activité.
Vérifiez la sauvegarde de configuration avant toute opération, et assurez-vous qu'elle est stockée ailleurs que sur le boîtier lui-même. C'est ce qui permet de revenir en arrière si la mise à jour se passe mal. Posez la question du renouvellement si votre boîtier est sur une branche ancienne. Un matériel proche de sa fin de vie reçoit des correctifs plus tardivement, puis plus du tout.
Fermez l'administration côté Internet. L'interface de configuration du pare-feu ne devrait être joignable que depuis le réseau interne ou via un VPN, jamais directement depuis l'extérieur. Profitez de l'intervention pour faire établir un inventaire daté de vos équipements réseau, avec leur version et leur date de fin de support. Ce document vous évitera de refaire l'exercice à chaque alerte.
Les références de versions et les identifiants de vulnérabilités mentionnés ici sont donnés à titre indicatif, à la date du 15 août 2026. Ils doivent être validés sur votre propre infrastructure et confrontés aux bulletins de l'éditeur avant toute application en production. Une mise à jour de pare-feu se planifie en quelques heures. Un pare-feu compromis se paye en jours d'activité perdue. Si vous ne savez pas quelle version fait tourner votre équipement, c'est déjà la réponse à la question de savoir s'il faut s'en occuper. CERT-FR, avis CERTFR-2026-AVI-1021 « Multiples vulnérabilités dans les produits Stormshield », 14 août 2026. Stormshield, bulletins de sécurité 2026-013 et 2026-014 du 30 juillet 2026 et 2026-015 du 13 août 2026.
Synthèse rédactionnelle originale de TICLIC, établie à partir de la veille du 15 août 2026. Les numéros de version, identifiants CVE et dates proviennent des avis cités et n'ont pas fait l'objet d'une vérification indépendante complémentaire lors de la rédaction; le statut d'exploitation des failles est celui indiqué par le CERT-FR à la date de son avis et peut avoir évolué depuis.