Stormshield SNS : vulnérabilités 2026 et avis

CERTFR-2026-AVI-0631 : ce que dit vraiment le CERT-FR

L'avis de sécurité CERTFR-2026-AVI-0631 Stormshield SNS CVE-2025-9086 avis sécurité publié par le CERT-FR documente une vulnérabilité affectant les pare-feux Stormshield Network Security, solution souveraine largement déployée dans les administrations françaises et les opérateurs d'importance vitale. La qualification retenue mérite attention : il s'agit d'un avis (AVI) et non d'une alerte (ALS), distinction qui traduit fidèlement le niveau de risque réel mesuré à CVSS 2.7, soit une sévérité faible. Cette nuance échappe pourtant à de nombreuses communications alarmistes qui circulent sur le sujet. Nous détaillons ici le périmètre exact des versions concernées, le mécanisme technique de la faille, les conditions d'exploitabilité effectives ainsi que les correctifs publiés par l'éditeur. Vous disposerez ainsi des éléments nécessaires pour arbitrer sereinement la priorisation de ce correctif dans votre cycle de patch management.

La distinction entre un avis CERT-FR (CERTFR-YYYY-AVI-XXXX) et une alerte CERT-FR (CERTFR-YYYY-ALS-XXXX) est fondamentale. Les alertes sont réservées aux vulnérabilités critiques faisant l'objet d'une exploitation active ou présentant un risque systémique immédiat. Les avis couvrent les vulnérabilités nécessitant une attention et un traitement dans le cadre des cycles normaux de gestion des correctifs. CERTFR-2026-AVI-0631 appartient à cette deuxième catégorie.

CVE-2025-9086 est une vulnérabilité dans le composant libcurl embarqué dans les appliances Stormshield SNS. La bibliothèque libcurl est une bibliothèque open source de transfert de données largement utilisée, dont un heap buffer overflow a été identifié dans les versions 8.13.0 à 8.15.x. Dans le contexte SNS, l'exploitation de cette faille pourrait provoquer un déni de service affectant les fonctionnalités réseau dépendant de ce composant, sans permettre l'exécution de code arbitraire.

Stormshield a traité cette vulnérabilité dans son Bulletin de sécurité 2026-010. Ce bulletin documente les versions affectées (SNS 4.3.x, 4.4–4.8.x, 5.0.x) et fournit le correctif sous forme de mise à jour vers SNS 4.3.43, 4.8.16 ou 5.0.6 selon la branche déployée. Le bulletin ne mentionne aucun scénario d'exploitation active ni de preuve de concept publiquement disponible.

Panorama des vrais avis CERT-FR sur Stormshield SNS en 2026

Pour donner à CERTFR-2026-AVI-0631 son juste contexte, voici les avis CERT-FR réels publiés sur Stormshield SNS en 2026 :

• CERTFR-2026-AVI-0007 (6 janvier 2026) — CVE-2025-31115 : heap use-after-free dans le décodeur XZ multi-threadé de SNS 5.0.x. Impact théorique RCE/DoS, mais CVSS réel évalué à 3.5 Low par Stormshield (vecteur local, complexité haute). Corrigé dans SNS 5.0.4.
• CERTFR-2026-AVI-0219 (27 février 2026) — Bypass de droits dans le VPN SSL de SNS 5.0.2 EA à 5.0.4 EA, CVSS 5.1 Medium, sans CVE assigné. Corrigé dans SNS 5.0.5.
• CERTFR-2026-AVI-0259 (11 mars 2026) — Vulnérabilités OpenSSL (CVE-2024-13176, CVE-2025-68160, CVE-2025-69418) dans SNS. SNS finalement non affecté selon la mise à jour Stormshield du 27 avril 2026 (Bulletin 2026-001).
• CERTFR-2026-AVI-0631 — CVE-2025-9086 libcurl, CVSS 2.7 Low, DoS uniquement. Corrigé dans SNS 4.3.43 / 4.8.16 / 5.0.6 (Bulletin 2026-010).

Ce panorama montre que Stormshield SNS n'a pas fait l'objet de vulnérabilité critique (CVSS ≥ 9) en 2025-2026. Les avis publiés concernent des composants tiers embarqués (libcurl, OpenSSL, xz-utils) ou des vulnérabilités de sévérité faible à moyenne, traitées dans des délais normaux par l'éditeur.

Recommandations

• Mettre à jour SNS vers 4.3.43 / 4.8.16 / 5.0.6 (selon la branche) pour corriger CVE-2025-9086
• Consulter le portail advisories.stormshield.eu pour l'ensemble des bulletins actifs
• Référencer CERTFR-2026-AVI-0631 dans le registre de gestion des vulnérabilités — traitement dans le cycle normal, pas en urgence

Le score CVSS 2.7 de CVE-2025-9086 s'appuie sur un vecteur d'attaque révélateur : AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L. L'attaque nécessite une complexité élevée (AC:H) — l'exploitation dépend de conditions précises sur le traitement des requêtes HTTP/HTTPS via libcurl, notamment un enchaînement d'opérations de retransmission déclenchant le heap buffer overflow. Aucun privilège ni interaction utilisateur n'est requis, mais l'impact reste limité à la disponibilité (A:L), sans atteinte à la confidentialité ni à l'intégrité. Ce profil exclut de fait tout scénario de prise de contrôle de l'appliance ou d'exfiltration de données.

Le composant libcurl vulnérable est intégré nativement dans le firmware SNS pour la gestion de flux applicatifs sortants (mises à jour de signatures, requêtes de réputation, télémétrie). Les versions SNS antérieures à 4.3.43, 4.8.16 et 5.0.6 embarquent une release affectée de libcurl (8.13.0 à 8.15.x). Les appliances configurées avec des flux HTTPS sortants intensifs — proxy applicatif, filtrage d'URL avec catégorisation cloud — présentent une surface d'exposition légèrement supérieure, sans que cela ne modifie la sévérité intrinsèque de la faille.

Mesures de mitigation et détection

• Mise à jour prioritaire : appliquer le firmware correctif via Stormshield Bulletin 2026-010 dans le cadre du cycle de maintenance planifié — aucune urgence de type patch hors-cycle
• Supervision : surveiller les journaux SNS pour des redémarrages inopinés du service de filtrage applicatif, symptôme typique d'un déni de service exploité
• Segmentation : limiter l'exposition des interfaces d'administration et de VPN SSL en attendant le déploiement du correctif, bonne pratique indépendante de cette CVE
• Inventaire : vérifier la version exacte via la console d'administration SNS (Système > Maintenance > Mise à jour) avant de planifier le correctif

Cet épisode illustre un enjeu récurrent de la chaîne d'approvisionnement logicielle : les équipementiers de sécurité réseau intègrent des bibliothèques open source tierces (libcurl, OpenSSL, zlib) dont les CVE se propagent mécaniquement à leur propre nomenclature de vulnérabilités, sans corrélation directe avec la criticité réelle pour l'appliance hôte. La correction éditoriale apportée à cet article — initialement publié avec un CVSS surévalué et une référence CERT-FR erronée — souligne l'importance de distinguer le score CVSS générique attribué à la bibliothèque amont du risque contextualisé dans l'environnement cible, seul indicateur pertinent pour prioriser un correctif.