Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 30 octobre 2026 une vulnérabilité d’exécution de code à distance dans Stormshield Management Center (SMC). L’avis CERTFR-2026-AVI-1429 concerne les versions du logiciel antérieures à 3.9.4. Il renvoie aux consignes de l’éditeur pour la protection des installations.
Une faille dans le serveur d’administration centralisée
Stormshield Management Center sert à administrer de manière centralisée des équipements de sécurité. Le problème identifié porte sur ce composant d’administration : l’alerte ne décrit pas une vulnérabilité affectant indistinctement tous les pare-feu de la marque.
Dans son bulletin STORM-2026-034, publié le même jour, Stormshield rattache la faille référencée CVE-2026-111497 à « Node2Shell », un défaut d’écriture hors limites dans le décodeur Brotli embarqué avec Node.js. Selon l’éditeur, un attaquant capable de transmettre des données Brotli au serveur SMC pourrait provoquer l’arrêt du processus Node.js et, dans certaines conditions, exécuter du code avec les privilèges du service SMC.
Stormshield attribue à cette vulnérabilité un score CVSS de base de 8,8 sur 10 et un score temporel de 7,9. Ces évaluations décrivent la gravité technique du défaut, et non le nombre d’organisations touchées. Les deux publications ne fournissent pas de bilan d’intrusions effectivement constatées sur des installations SMC.
Accès à l’interface : les restrictions préconisées avant correction
Les versions 3.9.3 et antérieures sont indiquées comme affectées. L’éditeur annonce que la version 3.9.4 apportera la correction, sans que son bulletin établisse à lui seul la date effective de disponibilité de cette mise à jour pour chaque installation.
Dans l’intervalle, Stormshield recommande de limiter l’accès réseau à l’interface d’administration aux seuls postes d’administrateurs de confiance et de ne pas exposer SMC à Internet. Lorsque l’architecture comporte un proxy inverse ou un pare-feu applicatif web, l’éditeur préconise également de rejeter les requêtes portant l’en-tête Content-Encoding: br. Ces mesures provisoires doivent être appréciées au regard de la configuration réelle du système et des consignes du fournisseur.
Pour les équipes responsables des infrastructures de sécurité, la priorité est donc de vérifier la version déployée, l’exposition du serveur d’administration et la possibilité d’appliquer le correctif annoncé. Le CERT-FR classe ce dossier parmi ses avis de sécurité, distincts des alertes destinées à prévenir d’un danger immédiat.
