Faille pare-feu Palo Alto : votre entreprise est-elle exposée ?

Imaginez le portier d'un immeuble de bureaux. Son travail : vérifier les identités avant d'ouvrir. On vient de découvrir un défaut chez l'un des portiers les plus répandus du marché : en lui présentant un badge trop long, n'importe qui entre, récupère le trousseau complet et ne laisse aucune trace au registre.

Ce portier, c'est PAN-OS, le système qui équipe les pare-feu de Palo Alto Networks, présents à l'entrée du réseau de milliers d'entreprises. La faille porte le numéro CVE-2026-0300. Elle touche le portail d'authentification, la fonction précisément chargée de contrôler qui entre. Un attaquant, sans identifiant ni mot de passe, peut prendre le contrôle complet de l'équipement avec les droits les plus élevés. Elle est déjà exploitée sur des systèmes en production, comme l'a documenté l'équipe de recherche de Wiz.

Voici comment savoir si votre entreprise est concernée, repérer une intrusion déjà passée et remettre de l'ordre, étape par étape.

Une faille dans l'équipement censé protéger tout le reste

Un pare-feu se place entre internet et votre réseau interne. Tout ce qui entre ou sort passe par lui. Le portail d'authentification concerné par la faille est la page où les utilisateurs prouvent leur identité avant d'accéder aux ressources de l'entreprise.

Le mécanisme de l'attaque tient en trois phrases. L'attaquant envoie au portail une requête plus longue que ce que le programme attend. Le surplus déborde de la case mémoire prévue et écrase les instructions voisines. En choisissant soigneusement le contenu du débordement, l'attaquant fait exécuter son propre code : c'est un dépassement de mémoire tampon, une des failles les plus anciennes de l'informatique, et toujours une des plus efficaces.

Ce qui rend le cas sérieux, ce n'est pas la technique. C'est la position de l'équipement. Un pare-feu voit passer tout le trafic de l'entreprise, stocke des certificats et des mots de passe de connexion, et fait autorité sur ce qui est autorisé ou non. Celui qui le contrôle ne force plus aucune porte : il tient le trousseau.

Votre entreprise est-elle concernée ? Trois vérifications

Première vérification : possédez-vous un équipement Palo Alto Networks ? La question paraît simple, elle ne l'est pas toujours. Le pare-feu a pu être installé par un prestataire il y a des années. Un contrat d'infogérance, une facture, ou une question directe à votre responsable informatique suffisent à trancher.

Deuxième vérification : le portail d'authentification est-il accessible depuis internet ? C'est le cas le plus risqué, car l'attaquant peut alors frapper directement, sans être dans vos locaux ni sur votre réseau. Votre administrateur peut le confirmer en quelques minutes en regardant la configuration des interfaces.

Troisième vérification : la version de PAN-OS installée. Palo Alto Networks a publié un bulletin de sécurité listant les versions vulnérables et les versions corrigées. Comparez, c'est factuel et sans ambiguïté.

Si votre informatique est gérée par un prestataire, un seul message suffit : "Notre pare-feu est-il concerné par la faille CVE-2026-0300 ? Le correctif est-il appliqué ? Les journaux ont-ils été vérifiés pour détecter une exploitation antérieure ?" La qualité de la réponse, et son délai, vous en diront autant que la réponse elle-même.

Repérer les signes d'une intrusion déjà passée

La faille étant exploitée depuis plusieurs semaines, la question n'est pas seulement "sommes-nous vulnérables ?" mais "quelqu'un est-il déjà entré ?". Voici où regarder :

• les journaux du portail d'authentification : requêtes anormalement longues, erreurs répétées, redémarrages inexpliqués du service
• les comptes administrateurs : tout compte créé ou modifié récemment sans justification documentée
• la configuration : règles ajoutées, redirections de trafic, exports de configuration que personne ne revendique
• les connexions sortantes émises par le pare-feu lui-même vers des adresses inconnues
• les indicateurs de compromission publiés par Wiz et par Palo Alto Networks, que votre administrateur peut confronter à vos journaux

Le piège classique : appliquer le correctif, constater que tout fonctionne, et considérer le dossier clos. Le correctif ferme la porte. Il ne fait pas sortir celui qui est déjà entré. Un attaquant installé avant la mise à jour conserve ses accès : comptes créés, secrets copiés, code déposé sur l'équipement.

Autre piège : redémarrer l'équipement avant d'avoir sauvegardé les journaux. Un redémarrage efface des traces précieuses. Si vous suspectez une intrusion, conservez d'abord, nettoyez ensuite.

Corriger, dans le bon ordre

1. Sauvegarder les journaux et la configuration actuelle, hors de l'équipement. C'est votre matière première si une analyse s'avère nécessaire.
2. Appliquer le correctif publié par Palo Alto Networks, en suivant le bulletin officiel.
3. Si la mise à jour ne peut pas être faite immédiatement, réduire l'exposition en attendant : couper l'accès au portail depuis internet, le restreindre à des adresses connues, ou désactiver la fonction si elle n'est pas utilisée. Beaucoup d'entreprises découvrent à cette occasion que le portail était exposé sans nécessité.
4. Après le correctif, renouveler les secrets stockés sur l'équipement : mots de passe d'administration, certificats, clés de connexion. Réparer la porte ne suffit pas si les clés ont circulé : il faut aussi changer les serrures.
5. Surveiller les journaux dans les semaines qui suivent. Une intrusion passée se manifeste rarement le jour même.

Ce qu'un pare-feu compromis coûte réellement

Prenons une entreprise de 35 salariés. Son pare-feu est compromis un vendredi soir, période favorite des attaquants parce que personne ne regarde les écrans. Depuis l'équipement, l'attaquant récupère des identifiants, se déplace vers les serveurs internes et chiffre les données le dimanche. Lundi matin, plus rien ne fonctionne.

Faisons le calcul le plus prudent : trois jours d'arrêt pour remettre le réseau en état. À 300 euros de production perdue par personne et par jour, cela représente 31 500 euros. Ajoutez l'intervention d'un spécialiste pour analyser et reconstruire, facturée entre 5 000 et 15 000 euros selon l'ampleur. Ajoutez, si des données personnelles sont touchées, la notification à la CNIL et l'information des clients concernés. Aucun de ces postes n'est spectaculaire isolément. Additionnés, ils dépassent souvent le budget informatique annuel de l'entreprise. Et le calcul ignore la rançon, que rien n'oblige à payer mais que la pression du lundi matin rend tentante.

La leçon durable dépasse cette faille : l'équipement qui protège doit lui-même être surveillé. Trois habitudes y suffisent : tenir un inventaire des équipements exposés sur internet, disposer d'une procédure de mise à jour avec un responsable identifié, et vérifier les journaux à intervalle régulier. L'été, quand l'activité ralentit, est un bon moment pour mettre ces trois briques en place : c'est une amélioration concrète, faisable en quelques jours, qui vous fera aborder la rentrée avec des portes mieux tenues.

Et maintenant ?

Un portier reste utile. Encore faut-il que quelqu'un pense, de temps en temps, à vérifier le portier lui-même.

Si vous ne savez pas quels équipements gardent vos portes, ni dans quel état ils se trouvent, nous pouvons faire le point ensemble : un échange de trente minutes suffit pour passer en revue vos équipements exposés et repartir avec une liste d'actions claire. Prendre rendez-vous.

Vous pourrez ensuite retourner au transat, en sachant exactement qui tient vos clés.