CVE-2026-111497 : PAN-OS et Prisma Cloud Brotli CVSS 9.2 — CERT-FR

Les faits

Le 27 octobre 2026, le CERT-FR (Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques) a publié une alerte de sécurité concernant l'impact de CVE-2026-111497 sur les produits Palo Alto Networks. Cette vulnérabilité, initialement identifiée dans la bibliothèque de compression Brotli de Google (versions 1.0.3 à 1.2.0), a reçu un score CVSS 3.1 de 9.2. Elle est désormais confirmée comme affectant des composants critiques de Palo Alto Networks : les pare-feux PA-Series et VM-Series exécutant PAN-OS, ainsi que le Prisma Cloud Application Security Transporter Client. À la date de l'alerte CERT-FR, des patches définitifs n'étaient pas encore disponibles pour l'ensemble des versions PAN-OS concernées.

CVE-2026-111497 est un buffer overflow dans le décodeur Brotli (fichier c/dec/decode.c). Brotli est un algorithme de compression développé par Google, largement adopté pour la compression HTTP/2 et HTTP/3 ainsi que pour d'autres usages réseau. La vulnérabilité réside dans une corruption de la mémoire adjacente de l'état du décodeur lors du traitement d'un flux Brotli spécialement forgé : un attaquant peut envoyer un flux Brotli malveillant qui provoque un dépassement de tampon, corrompant des structures de données voisines en mémoire. Selon les analyses disponibles, cette corruption peut conduire à la divulgation de données sensibles en mémoire, un déni de service, ou — dans les conditions les plus favorables à l'attaquant — à l'exécution de code arbitraire.

L'impact sur Palo Alto PAN-OS est conditionné par la configuration du pare-feu. Les pare-feux PA-Series et VM-Series sont vulnérables lorsqu'ils sont configurés pour inspecter du trafic compressé avec Brotli et que la fonctionnalité de déchiffrement SSL/TLS est activée sur le plan de données. Dans ce cas, le pare-feu décode les flux Brotli pour en inspecter le contenu — exposant ainsi le décodeur vulnérable à du trafic potentiellement malveillant provenant de sources externes. Il s'agit d'une configuration courante dans les déploiements de Next-Generation Firewall (NGFW) avec inspection approfondie des paquets (DPI) activée.

Pour le Prisma Cloud Application Security Transporter Client, le composant est affecté indépendamment de la configuration NGFW. Ce client, déployé dans les pipelines CI/CD et les environnements cloud pour l'analyse de sécurité du code, utilise Brotli pour la compression des communications avec les services Prisma Cloud. Sa présence dans des environnements de développement élargit la surface d'attaque au-delà du périmètre réseau traditionnel.

La chronologie de cette vulnérabilité illustre le phénomène de vulnérabilité en cascade dans les dépendances logicielles (supply chain de bibliothèques). CVE-2026-111497 a d'abord été signalée dans la bibliothèque Brotli open source, puis des advisories ont été publiés pour les produits qui embarquent cette bibliothèque : Node.js (Node2Shell, CVSS 9.2), Microsoft (edge cases dans les composants Windows utilisant Brotli), et désormais Palo Alto Networks. D'autres vendors pourraient être impactés si leurs produits embarquent des versions vulnérables de Brotli sans correctif appliqué.

Palo Alto Networks a publié un advisory de sécurité (PA-CVE-2026-111497) confirmant l'impact sur ses produits. Selon cet advisory, la disponibilité des patches varie selon la version de PAN-OS : PAN-OS 11.2.x, 12.1.x et 12.2.x sont concernées, avec des dates de disponibilité des correctifs s'échelonnant entre le 27 et le 30 octobre 2026. À la date de l'alerte CERT-FR du 27 octobre, Palo Alto Networks indiquait ne pas avoir connaissance d'exploitation malveillante de cette faille sur ses produits. Des workarounds sont disponibles pour les configurations où la désactivation du déchiffrement SSL/TLS est possible.

La réactivité du CERT-FR sur cette vulnérabilité — alerte publiée le jour même de la mise à disposition partielle des patches — témoigne du niveau de criticité accordé à cette faille par les autorités françaises de cybersécurité. Dans le contexte où de nombreuses grandes entreprises et administrations françaises déploient des pare-feux Palo Alto Networks, l'ANSSI a jugé nécessaire d'alerter en priorité les opérateurs d'importance vitale (OIV) et les opérateurs de services essentiels (OSE) susceptibles d'utiliser ces équipements en configuration DPI avec déchiffrement SSL.

L'absence de correctif disponible pour l'ensemble des versions PAN-OS au moment de l'alerte impose aux organisations affectées de mettre en oeuvre des mesures de mitigation temporaires. La principale mesure recommandée par Palo Alto Networks consiste à désactiver le déchiffrement SSL/TLS sur les interfaces exposées à des sources de trafic non maîtrisées, réduisant ainsi le risque d'exposition au décodeur Brotli vulnérable. Cette désactivation peut toutefois impacter l'efficacité de l'inspection de sécurité, nécessitant une analyse de risque préalable.

Impact et exposition

Les organisations les plus exposées sont celles qui déploient des pare-feux Palo Alto PA-Series ou VM-Series avec inspection SSL/TLS activée face à Internet ou à des réseaux non maîtrisés. Dans une configuration DPI standard, le pare-feu déchiffre et inspecte tout le trafic HTTPS entrant et sortant — incluant potentiellement des flux compressés en Brotli provenant de serveurs web légitimes. Un attaquant contrôlant un serveur HTTP(S) accessible depuis le périmètre inspecté pourrait théoriquement servir un flux Brotli malveillant pour exploiter la vulnérabilité.

Le Prisma Cloud Application Security Transporter Client expose les équipes de développement et les pipelines CI/CD. Dans les environnements DevSecOps où ce composant est intégré aux workflows de build, une exploitation réussie pourrait permettre la compromission des systèmes de build, voire l'injection de code malveillant dans les artefacts produits — un scénario de supply chain attack particulièrement préoccupant.

À ce jour, Palo Alto Networks déclare ne pas avoir connaissance d'exploitation malveillante active de CVE-2026-111497 sur ses produits. Néanmoins, la publication de l'alerte CERT-FR et la fenêtre de quelques jours entre la confirmation de l'impact et la disponibilité complète des patches constituent une période de risque accru qu'il convient de gérer activement via les mitigations disponibles.

Recommandations immédiates

• Appliquer les patches PAN-OS dès leur disponibilité pour votre version — Palo Alto Networks Security Advisory PA-CVE-2026-111497 (patches attendus 27-30 octobre 2026)
• En attendant le patch, désactiver le déchiffrement SSL/TLS sur les interfaces exposées à des sources non maîtrisées si votre politique de sécurité le permet
• Mettre à jour le Prisma Cloud Application Security Transporter Client vers la version corrigée dès sa disponibilité
• Surveiller les alertes Palo Alto Networks Threat Prevention pour détecter des tentatives d'exploitation de flux Brotli malveillants
• Consulter l'alerte CERT-FR CERTFR-2026-ALE-014 pour les dernières recommandations de l'ANSSI