Le 27 octobre 2026, la National Vulnerability Database a publié une fiche sur une faille dans WatchGuard Fireware OS, le logiciel qui fait fonctionner les pare-feu de l’éditeur. Le score y est de 9,5 sur 10, attribué par l’organisme déclarant. Aucune exploitation n’est signalée à ce jour dans cette fiche. Nous ramenons le geste utile à une question pour votre prestataire : quelle version est installée sur nos pare-feu, et quand le correctif sera-t-il appliqué ?
C’est quoi ?
Un défaut dans le logiciel interne de certains pare-feu WatchGuard, qui pourrait faire tomber l’appareil chargé de filtrer votre réseau.
Le défaut inscrit sous le numéro CVE-2026-103594 est un dépassement de mémoire tampon. L’appareil reçoit plus de données qu’il ne peut en contenir et perd le contrôle de ce qu’il traite. La fiche pose une condition exigeante : l’attaquant doit avoir accès aux communications déchiffrées entre le pare-feu et WatchGuard Cloud, le service de gestion à distance de l’éditeur. Pouvoir s’interposer dans des échanges chiffrés ne suffit donc pas. Pensez à une porte de garage commandée à distance : le problème n’est pas la porte, c’est que le moteur ne vérifie pas assez solidement le message reçu.
Pourquoi c’est grave ?
La gravité notée est élevée, mais aucune exploitation n’est signalée : nous y voyons un avis à planifier, pas un incident en cours.
Le score de 9,5 sur 10 suit l’échelle CVSS 4.0, la grille internationale qui note la gravité d’une vulnérabilité de 0 à 10. Côté affaires, l’enjeu est double : une interruption du pare-feu coupe l’accès à Internet et aux dossiers, donc la prise de commandes et la facturation ; une prise de contrôle de l’appareil ouvrirait la voie à une fuite de renseignements personnels ou à une fraude. La fiche NVD signale aussi six autres vulnérabilités critiques publiées pour ce même produit dans la même période.
Ça touche qui ?
Toute entreprise dont le pare-feu est un appareil WatchGuard fonctionnant sous Fireware OS.
La fiche NVD consultée ne précise ni les versions vulnérables ni une version corrigée : cette information doit venir de l’avis de sécurité de WatchGuard. Nous ne disposons d’aucune donnée sur le nombre d’organisations québécoises ou canadiennes équipées de ces appareils : la question se règle au cas par cas. Si votre pare-feu porte cette marque, faites confirmer la version installée et l’usage ou non de la gestion infonuagique.
Comment vérifier dans mon entreprise ?
Quelques questions posées à la bonne personne suffisent à savoir si vous êtes concerné.
- Faire relever la marque, le modèle et la version de Fireware OS de chaque pare-feu, puis comparer avec la version corrigée annoncée par l’éditeur (prestataire informatique).
- Demander si vos pare-feu utilisent la gestion infonuagique de WatchGuard et si le correctif est planifié (prestataire informatique).
- Faire limiter l’accès à l’interface d’administration aux seules adresses de confiance, la courte liste d’adresses réseau autorisées à s’y connecter, et désactiver les accès distants inutiles (prestataire informatique).
- Exiger qu’on vous signale tout redémarrage inattendu ou toute interruption du pare-feu (direction).
Mise en situation
Exemple fictif : un transporteur régional n’a pas appliqué le correctif de son pare-feu.
Un mardi matin, l’appareil redémarre sans raison apparente, à répétition. Les répartiteurs perdent l’accès au logiciel de tournées, les bons de livraison ne s’impriment plus, les chauffeurs attendent dans la cour. Le prestataire, appelé en urgence, découvre un équipement en retard de plusieurs versions. La journée se passe à reporter des livraisons et à rattraper la facturation en soirée. Rien n’a été volé, mais la confiance de deux clients s’est fissurée.
Quoi faire maintenant
- Demander dès cette semaine l’inventaire de vos pare-feu et la version installée.
- Consulter l’avis de sécurité de WatchGuard et faire appliquer la version corrigée dès que l’éditeur la confirme.
- Restreindre les accès d’administration et fermer les accès distants qui ne servent pas.
- Prévoir un moyen de connexion de secours pour tenir pendant une panne.
- Vérifier que vos sauvegardes existent, qu’elles sont hors du réseau et qu’une restauration a déjà été testée.
Ce que la faille dans WatchGuard Fireware OS change pour une PME du Québec
Les conséquences dépendent de chaque organisation : selon la place du pare-feu dans vos opérations, une indisponibilité va de l’inconfort à l’arrêt des activités, et un appareil compromis peut ouvrir un chemin vers vos données. Au Québec, si des renseignements personnels sont touchés, la loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité et la notification à la Commission d’accès à l’information lorsque le risque de préjudice sérieux est présent. Les contrôles de base du Centre canadien pour la cybersécurité placent la correction des équipements de bordure, ces appareils qui séparent votre réseau d’Internet, parmi les premières priorités. Nous invitons les directions à inscrire cette vérification à l’ordre du jour sans attendre un signal d’exploitation.
FAQ
Faut-il agir aujourd’hui même si rien n’est signalé ?
Oui, sans panique. Aucune exploitation n’est mentionnée dans la fiche NVD, mais cette absence ne dit rien du temps dont vous disposez. Demandez l’inventaire de vos pare-feu et la version installée, puis planifiez le correctif à un moment où une courte interruption ne nuira pas à vos opérations.
Nous ne gérons pas nos pare-feu par l’infonuagique, sommes-nous concernés ?
Le scénario de la fiche suppose un attaquant ayant accès aux communications déchiffrées entre le pare-feu et WatchGuard Cloud. Si cette gestion à distance n’est pas utilisée chez vous, votre exposition à ce défaut précis est plus faible. Nous conseillons de le faire confirmer par votre prestataire plutôt que de le supposer, et d’appliquer tout de même les correctifs publiés.
Un pare-feu à jour nous met-il à l’abri ?
Non. Un pare-feu à jour réduit fortement l’exposition, mais il n’existe pas de protection absolue et aucun prestataire ne peut garantir un risque zéro. Les sauvegardes testées, l’authentification à deux facteurs (un mot de passe complété par un second code reçu sur le téléphone) et la vérification des demandes de paiement par un second canal comptent autant. Méfiez-vous de tout discours qui promet une protection totale.
Sources
- Fiche CVE-2026-103594 de la National Vulnerability Database · NIST, 27 octobre 2026
- Avis de sécurité (psirt.watchguard.com) · psirt.watchguard.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-103594
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
