Stormshield SNS : quatrième avis CERT-FR de l'année, neuf failles dont une exécution de code à distance

Le CERT-FR (ANSSI) a publié le 14 août 2026 l'avis CERTFR-2026-AVI-1021, documentant neuf vulnérabilités dans Stormshield Network Security (SNS), la gamme de pare-feu de l'éditeur français très déployée dans les administrations, collectivités, hôpitaux et entreprises. Trois des failles permettent une exécution de code arbitraire à distance.

Ce qui s'est passé

L'avis s'appuie sur trois bulletins de sécurité publiés par Stormshield (2026-013 et 2026-014 du 30 juillet, 2026-015 du 13 août) et référence neuf CVE distinctes, dont CVE-2026-25075, CVE-2026-34180, CVE-2026-35058, CVE-2026-35328, CVE-2026-35330, CVE-2026-35332, CVE-2026-40215, CVE-2026-47895 et CVE-2026-7383. Les risques identifiés couvrent trois familles : exécution de code arbitraire à distance, déni de service à distance, et atteinte à la confidentialité des données. Sont concernées les versions SNS 3.11.x à 4.3.x antérieures à 4.3.44, les versions 4.8.x antérieures à 4.8.18, les versions 5.0.x antérieures à 5.0.8, les versions 5.1.x antérieures à 5.1.2, ainsi que toutes les versions antérieures à 3.7.45. Les correctifs sont disponibles auprès de l'éditeur, référencés dans les trois bulletins cités par le CERT-FR.

C'est le second avis CERT-FR de l'année ciblant spécifiquement SNS, après l'avis AVI-0723 de juin qui documentait une unique faille de confidentialité. Et c'est le quatrième avis sur l'écosystème Stormshield depuis avril, aux côtés des deux avis publiés sur Stormshield Management Center, la console d'administration centrale de la même suite.

Pourquoi c'est important

Un pare-feu compromis n'est pas un incident technique isolé : c'est le point d'entrée vers l'ensemble du système d'information qu'il est censé protéger, y compris les traitements de données personnelles qu'il filtre. Une vulnérabilité exploitée sur un équipement SNS engage directement l'article 32 du RGPD, qui impose des mesures techniques appropriées « à l'état de l'art » — l'application diligente des correctifs ANSSI en fait partie. Pour les organisations soumises à la directive NIS 2, la gestion des vulnérabilités et la notification des incidents significatifs à l'ANSSI sous 24 heures s'ajoutent à cette obligation. En cas d'exploitation avérée avec accès à des données personnelles, les articles 33 (notification à la CNIL sous 72 heures) et 34 (communication aux personnes concernées) du RGPD peuvent également s'enclencher.

Ce que ça change pour les organisations

Les équipes DPO et RSSI qui exploitent des boîtiers Stormshield SNS doivent inventorier sans délai les versions déployées, prioriser la mise à jour des équipements exposés sur Internet ou en frontière de réseau sensible, puis documenter la démarche de remédiation — un élément de preuve utile en cas de contrôle. Si l'infrastructure réseau est opérée par un prestataire externe, il convient de vérifier que le contrat de sous-traitance (article 28 du RGPD) prévoit bien une obligation de suivi et d'application des correctifs de sécurité. Les journaux des équipements concernés méritent également d'être passés en revue pour écarter toute exploitation antérieure à la publication de l'avis.

Ce que Leto pense de cette décision

Quatre avis CERT-FR sur un même écosystème de pare-feu en moins de cinq mois, c'est un rythme qui doit alerter au-delà du cercle IT. Stormshield équipe une part significative des administrations et infrastructures sensibles françaises précisément parce que c'est un fournisseur souverain — mais la souveraineté ne dispense d'aucune vigilance sur le cycle de correctifs. Pour les DPO, ce type d'avis doit devenir un déclencheur automatique d'un point de contact avec le RSSI, pas une notification technique de plus à classer sans suite.

Sources : CERT-FR, avis CERTFR-2026-AVI-1021