Stormshield SMC : un correctif pour le portail d’administration

Une vulnérabilité dans le portail d’administration

Stormshield a publié le 30 octobre 2026 un bulletin concernant Stormshield Management Center, ou SMC, son serveur d’administration centralisée. La vulnérabilité CVE-2026-111497 touche le décodeur Brotli, un composant de décompression fourni avec Node.js (moteur d’exécution d’applications) dans SMC.

Selon l’éditeur, un attaquant capable d’envoyer des données Brotli au serveur peut provoquer un déni de service (interruption du processus Node.js). Sous certaines conditions, il peut aussi exécuter du code avec les droits du service SMC. Le bulletin technique distingue bien ces deux conséquences : l’exécution de code n’est pas présentée comme systématique.

Les serveurs SMC jusqu’à la version 3.9.3

Sont concernées les entreprises qui exploitent un serveur SMC en version 3.9.3 ou antérieure. Le CERT-FR confirme le périmètre des versions antérieures à 3.9.4.

Stormshield indique que le respect de ses recommandations de déploiement atténue le risque. Cette atténuation ne retire pas le serveur du périmètre affecté. En attendant la mise à jour, l’éditeur demande de limiter l’interface d’administration aux postes d’administration de confiance et de ne pas exposer SMC à Internet. Si un mandataire inverse ou un pare-feu applicatif est placé devant SMC, il recommande également de rejeter les requêtes portant l’en-tête Content-Encoding: br.

Une version corrective documentée le 30 octobre

Les notes de version 3.9.4, actualisées le 30 octobre 2026, confirment la correction par la mise à niveau du composant Node.js. Elles indiquent que cette version est à télécharger depuis l’espace personnel MyStormshield. Aucun délai calendaire d’installation n’est fixé dans le bulletin.

Le parcours dépend de la version initiale : aucun palier intermédiaire n’est requis à partir de SMC 3.0 ; pour une version 2.x, il faut contacter l’assistance technique. Une installation avec redondance exige sa procédure spécifique. Les notes précisent aussi que SMC gère les pare-feu SNS (Stormshield Network Security) à partir de la version 4.3 : la compatibilité du parc doit donc être examinée avant une migration ancienne.

Les décisions à prendre avec votre administrateur

• Faites relever la version de SMC et contrôlez immédiatement les restrictions d’accès au portail ; appliquez les mesures temporaires du bulletin tant que le correctif n’est pas installé.
• Faites lire les recommandations et changements de comportement des notes 3.9.4 avant l’intervention, particulièrement lors d’un saut depuis une ancienne version.
• Téléchargez l’archive depuis MyStormshield et contrôlez son intégrité à l’aide du fichier de sommes de contrôle build.sha256sum. Vérifiez aussi la signature de ce fichier, fournie dans build.sha256sum.sign, selon la procédure officielle. L’éditeur présente ces vérifications comme facultatives ; nous recommandons de les effectuer.
• Préparez un instantané de la machine virtuelle, recommandé par l’éditeur. Stormshield recommande aussi d’empêcher les autres administrateurs d’accéder à SMC pendant la mise à jour : sinon, ils ne seront pas informés de l’opération et leurs configurations en cours ne seront pas enregistrées. Pour une installation redondante, suivez la procédure dédiée.
• Appliquez la mise à jour selon le guide d’administration. Par l’interface web, elle exige un super-administrateur et rend SMC indisponible pendant l’opération ; les pare-feu continuent à fonctionner. Reconnectez-vous à SMC après la mise à jour.

Pour ce chantier de sécurisation du portail d’administration, VCSTS prend en charge la mise en place et les vérifications, puis l’entretien des protections qui lui sont confiées.