Stormshield Network Security содержит несколько уязвимостей, и часть из них позволяет обойти политику безопасности (набор правил, по которым устройство пропускает или блокирует трафик). Другая проблема открывает путь межсайтовому скриптингу (XSS, внедрение стороннего кода в страницу, которую открывает пользователь). Третья ведёт к нарушению целостности данных. Проблемы касаются межсетевых экранов Stormshield, которые организации ставят на границе сети и в сегментах с повышенными требованиями к изоляции. Риск выше у тех, кто выводит интерфейс управления в общую сеть или держит его открытым для удалённого доступа.
Обход правил фильтрации, XSS и правка журналов
Сводку опубликовал французский центр реагирования на компьютерные атаки CERT-FR 19 октября 2026 года. Она опирается на четыре бюллетеня вендора: STORM-2026-022, STORM-2026-030, STORM-2026-031 и STORM-2026-032 от 16 октября. Перечень последствий в них совпадает: нарушение целостности данных, обход политики безопасности, XSS и категория, которую StormShield не раскрывает. Об эксплуатации в реальных атаках сведений нет. Опубликованных эксплойтов (вредоносного кода, использующего уязвимость) тоже нет. Оценок CVSS и идентификаторов CVE в документах нет, поэтому приоритет исправления приходится определять по месту устройства в сети.
Политика безопасности задаёт, какой трафик устройство пропускает между сегментами. Обход этой политики означает, что правила перестают применяться и пакеты проходят там, где задумано разделение. Для атакующего такой обход открывает боковое перемещение (переход с одной скомпрометированной машины на другие) внутри сети заказчика. Внешний периметр при этом теряет часть защиты, поскольку межсетевой экран перестаёт быть точкой контроля. Условия эксплуатации вендор не раскрывает; проблема отнесена к обходу политики, а не к отказу в обслуживании, поэтому скрытая работа вредоносного кода на самом устройстве не подтверждена и не опровергнута.
Атака на сессию администратора
Проблема межсайтового скриптинга требует действий со стороны человека. Сценарий на чужой странице срабатывает, когда администратор откроет её в том же браузере, где держит сессию управления. После этого атакующий может менять правила, создавать учётные записи и читать журналы от имени администратора. Нарушение целостности данных идёт отдельной строкой: часть уязвимостей позволяет изменить конфигурацию или записи аудита. Проверка журналов после такой правки даёт ложную картину, поэтому восстановление конфигурации по логам становится ненадёжным. Эксплуатация требует либо доступа к сети управления, либо убедительной приманки для администратора, так как сценарий не срабатывает без открытия страницы.
Исправления для веток 5.0, 5.1 и 4.8
Уязвимости затрагивают три ветки. В ветке 5.0 исправление появляется в версии 5.0.10, в ветке 5.1 - в 5.1.4 EA (сборка раннего доступа), в ветке 4.8 - в 4.8.20 LTSB (ветка долгосрочной поддержки). Все более ранние выпуски остаются уязвимыми, включая версии 4.8.x до 4.8.20 и более старые линейки, которые вендор относит к затронутому диапазону. Установка 5.1.4 EA в производственной среде требует отдельной оценки, поскольку сборка раннего доступа не равна стабильному релизу. Плановое обновление удобно совместить с проверкой резервных копий конфигурации.
До обновления доступ к интерфейсу управления ограничивают отдельным сегментом или списком разрешённых адресов. Внешние подключения к веб-интерфейсу отключают, если они не нужны для работы. Резервную копию конфигурации снимают до установки исправлений, чтобы откат не зависел от повреждённых данных. Журналы за период до обновления сохраняют на отдельном носителе: после правки конфигурации только копия вне устройства даёт достоверную картину.
Межсетевые экраны остаются целью атак, потому что успешный взлом снимает контроль сразу с целого сегмента сети. Отсутствие CVE и CVSS в сводке усложняет приоритизацию, зато сроки задаёт сам вендор. Для 5.0 и 4.8 исправления вышли в обычных сборках, для 5.1 - пока только в сборке раннего доступа. Такая асимметрия и определяет порядок работ по обновлению.
Ссылки
- https://advisories.stormshield.eu/2026-022
- https://advisories.stormshield.eu/2026-030
- https://advisories.stormshield.eu/2026-031/
- https://advisories.stormshield.eu/2026-032/
