Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 27 octobre 2026 un avis de sécurité concernant les produits Palo Alto Networks. Référencée CVE-2026-111497, la vulnérabilité touche le décodeur de compression Brotli et peut, dans certaines conditions, permettre une divulgation de données, un déni de service ou une exécution de code à distance.
Le bulletin de l’éditeur, publié le 26 octobre et actualisé le 27, lui attribue une gravité de 9,2 sur 10 selon CVSS 4.0, tout en classant l’urgence opérationnelle comme modérée. Palo Alto Networks indique ne pas avoir connaissance d’une exploitation malveillante de cette faille à la date de sa mise à jour.
Une exposition liée à la configuration des pare-feu
Pour PAN-OS, le risque décrit par l’éditeur concerne les pare-feu PA-Series et VM-Series qui inspectent le trafic compressé avec Brotli et utilisent le déchiffrement TLS/SSL sur le plan de données. L’interface d’administration web ou API de ces équipements n’est pas concernée par cette vulnérabilité. L’inspection Brotli est désactivée par défaut dans PAN-OS 11.2.4 et les versions ultérieures ; elle n’est pas prise en charge dans les versions antérieures à 11.2.4.
Les branches PAN-OS 11.2, 12.1 et 12.2 sont à examiner selon leur numéro de correctif. Le CERT-FR cite notamment les seuils 11.2.10-h17, 12.1.7-h11 et 12.2.4-h1. L’éditeur confirme que ces trois versions corrigées ont été publiées, mais annonce encore des correctifs pour d’autres sous-branches. Les versions 11.1 et 10.2 de PAN-OS ne sont pas touchées, selon Palo Alto Networks.
Le périmètre comprend également Prisma Cloud – Application Security Transporter Client dans les versions antérieures à 0.2.9. L’éditeur demande une mise à jour vers la version corrigée. Il précise gérer directement le déploiement de correctifs sur certains services cloud, pour lesquels aucune action du client n’est nécessaire.
Les vérifications recommandées aux équipes de sécurité
Les administrateurs doivent d’abord confronter la version exacte de leurs équipements au tableau de suivi de l’éditeur, dont les dates de disponibilité varient selon les branches. Ils peuvent ensuite vérifier si l’inspection Brotli est effectivement activée. Lorsque le correctif correspondant n’est pas encore disponible, Palo Alto Networks recommande de désactiver temporairement cette inspection ou la décompression Brotli, selon les options offertes par la version installée.
La vulnérabilité résulte d’un débordement de mémoire dans le décodeur Brotli. Elle concerne ainsi un composant logiciel utilisé au-delà des seuls équipements réseau : le bulletin de l’éditeur rappelle que des applications fondées sur HTTP, notamment dans l’écosystème Node.js, peuvent aussi recourir à cette bibliothèque. Les équipes chargées des systèmes d’information doivent donc distinguer la présence du composant vulnérable de son exposition effective dans chaque produit.
Au 27 octobre, la publication de l’avis du CERT-FR établit un risque technique documenté, non la survenue d’une compromission dans une administration ou une entreprise française. La disponibilité échelonnée des correctifs rend nécessaire un suivi par branche et par configuration.
