Stormshield SNS 2026 : bilan des avis CERT-FR et correctifs disponibles

Bilan des avis CERT-FR sur Stormshield SNS en 2026

Le CERT-FR a publié plusieurs avis de sécurité concernant Stormshield Network Security (SNS) en 2026. Ces avis portent sur des vulnérabilités de sévérité faible à moyenne, principalement liées à des composants tiers embarqués dans le produit. Aucune exécution de code à distance (RCE) non authentifiée critique n'a été documentée sur le produit SNS.

La distinction entre un avis CERT-FR (CERTFR-YYYY-AVI-XXXX) et une alerte CERT-FR (CERTFR-YYYY-ALS-XXXX) est fondamentale. Les alertes sont réservées aux vulnérabilités critiques faisant l'objet d'une exploitation active ou présentant un risque systémique immédiat. Les quatre références 2026 concernant SNS sont toutes des avis, non des alertes.

Tableau récapitulatif des avis CERT-FR

Détails des principaux avis

CERTFR-2026-AVI-0219 (27 février 2026) — Bypass VPN SSL

L'avis CERTFR-2026-AVI-0219 porte sur une vulnérabilité permettant un contournement de politique de sécurité sur le VPN SSL de Stormshield SNS. Selon les précisions apportées par Stormshield, les versions impactées sont SNS 5.0.2 EA à 5.0.4 EA — soit des versions Early Access de la branche 5.0, non les versions de production standard.

Le score CVSS pertinent à retenir est le score global (overall) : 5.1, classé Medium. Ce score est plus représentatif du risque réel que le score de base (base score) seul, car il intègre les facteurs d'environnement et de maturité de l'exploitation. Aucun CVE n'a été assigné à cette vulnérabilité spécifique. Le correctif consiste à mettre à jour vers SNS 5.0.5 ou supérieure.

Pour les organisations déployant SNS en version de production standard (branches 4.3.x ou 4.8.x), cette vulnérabilité ne s'applique pas directement, les versions EA 5.0.2-5.0.4 n'étant pas destinées à la production générale.

CERTFR-2026-AVI-0631 (22 mai 2026) — libcurl CVE-2025-9086

L'avis CERTFR-2026-AVI-0631 porte sur la vulnérabilité CVE-2025-9086 affectant le composant libcurl embarqué dans Stormshield SNS. Il s'agit d'un heap buffer overflow dans la logique de comparaison des chemins de cookies de libcurl (versions 8.13.0 à 8.15.x).

L'impact dans le contexte SNS est limité à un déni de service à distance affectant les fonctionnalités réseau dépendant de libcurl. Le score CVSS pertinent est le score global : 2.7 (Low). Aucun vecteur d'exécution de code arbitraire n'a été identifié dans le contexte SNS.

Stormshield a traité cette vulnérabilité dans son Bulletin de sécurité 2026-010. Le correctif est disponible dans les versions SNS 4.3.43, 4.8.16 et 5.0.6. La mise à jour peut être planifiée dans le cadre des cycles normaux de maintenance — aucune urgence comparable à une vulnérabilité critique n'est requise.

Ce que SNS n'a pas eu en 2026

Il n'existe pas d'alerte CERTFR-2026-ALS-006 correspondant à une RCE non authentifiée CVSS 9.1 sur Stormshield SNS. Les informations ayant circulé sur ce sujet étaient erronées. Les vulnérabilités documentées en 2026 sur SNS restent limitées en sévérité et gérables via les processus de maintenance habituels.

Cette clarification est importante pour les RSSI et équipes techniques qui doivent hiérarchiser correctement leurs actions : aucune mise à jour d'urgence hors-cycle n'est requise pour SNS sur la base de ces avis 2026.

Note sur le Stormshield Management Center (SMC)

Le Stormshield Management Center (SMC) — la console de gestion centralisée des firewalls SNS — a fait l'objet d'un avis distinct : CERTFR-2026-AVI-0483. Cet avis documente dix vulnérabilités dans SMC, dont certaines de sévérité plus élevée (exécution de code à distance possible via des composants tiers comme OpenSSL et PostgreSQL/pgcrypto embarqués dans SMC).

Les organisations utilisant SMC sont invitées à prioriser la mise à jour vers SMC 3.9.1 ou supérieure. La distinction entre SNS (le firewall lui-même) et SMC (la console de gestion) est essentielle : les vulnérabilités SMC ne signifient pas que les firewalls SNS sont compromis, mais qu'un attaquant accédant à la console de gestion pourrait prendre le contrôle de la flotte.

Recommandations

• Mettre à jour SNS vers les versions corrigées (4.3.43, 4.8.16 ou 5.0.6) lors de la prochaine fenêtre de maintenance planifiée
• Pour SMC : prioriser la mise à jour vers SMC 3.9.1 ou supérieure
• Consulter régulièrement les bulletins officiels Stormshield sur advisories.stormshield.eu
• S'abonner aux notifications CERT-FR pour les produits Stormshield
• Pour les versions SNS en Early Access (5.0.x EA) : revenir à une branche de production stable si la migration vers 5.0.5+ n'est pas immédiate

FAQ — Questions fréquentes