Faille Brotli : les pare-feu Palo Alto Networks sont touchés à leur tour, le CERT-FR publie un avis

Le 27 octobre, le CERT-FR (le centre d’alerte de l’ANSSI) a publié un avis sur la vulnérabilité CVE-2026-111497 dans les pare-feu de Palo Alto Networks, un équipementier très présent dans les ETI et chez les infogéreurs. Il s’agit de la même faille du composant de compression Brotli que nous signalions le 27 octobre à propos de .NET, Node.js et Python ; la nouveauté est qu’elle atteint désormais un équipement de sécurité placé en bordure de réseau, où une exploitation réussie permettrait au pire d’exécuter du code à distance. Selon le bulletin de l’éditeur, publié le 26 octobre et mis à jour le 27, sont concernées les versions 11.2, 12.1 et 12.2 de PAN-OS (le système des pare-feu PA-Series et VM-Series), mais uniquement lorsque l’inspection du trafic compressé en Brotli et le déchiffrement TLS/SSL (l’ouverture des flux chiffrés pour les analyser) sont activés ; l’inspection Brotli est désactivée par défaut, les versions 11.1 et 10.2 ne sont pas touchées et l’interface d’administration n’est pas concernée. Palo Alto Networks, qui note la faille 9,2 sur 10 mais juge l’urgence « modérée », n’a connaissance d’aucune exploitation malveillante ; des correctifs sont déjà disponibles pour certaines sous-versions (11.2.10-h17, 12.1.7-h11 et 12.2.4-h1), d’autres sont annoncés d’ici le 30 octobre, et l’éditeur décrit comment désactiver temporairement l’inspection Brotli en attendant. Ce que cela change pour vous : si votre réseau est protégé par un pare-feu Palo Alto, demandez dès aujourd’hui à votre infogéreur de vérifier la version de PAN-OS et si l’inspection Brotli est activée, puis d’appliquer le correctif ou, à défaut, de couper cette inspection jusqu’à sa publication.