Juniper corrige plus de 60 failles dans Junos, dont une exécution de code root via BMP depuis un pair BGP

14 octobre 2026. Juniper Networks publie JSA112187, son bulletin de sécurité le plus volumineux de l’année, qui corrige plus de 60 vulnérabilités dans Junos OS et Junos OS Evolved. Aucune exploitation connue. L’éditeur précise avoir découvert ces failles « lors de tests internes approfondis » et n’être « au courant d’aucune exploitation malveillante ». CVSS 9,8. Beaucoup de ces failles atteignent le score maximal. Pourquoi c’est important : enterrées dans ce bulletin se trouvent deux failles qui touchent le démon de routage rpd et donnent le root à un pair BGP non authentifié, dès lors que le BGP Monitoring Protocol (BMP) est activé — une configuration que de plus en plus d’opérateurs déploient pour observer leurs routes.

La faille qui compte : un pair BGP qui exécute du code dans rpd

Le BGP Monitoring Protocol est le point aveugle de ce bulletin. BMP permet à un routeur d’envoyer une copie de ses routes et de ses états de session vers un poste de supervision, sans établir une session BGP complète. C’est un outil d’observabilité précieux, adopté pour la télémétrie de routage et l’analyse de stabilité du plan de contrôle. Mais activer BMP sur un routeur de production, c’est aussi ouvrir un chemin de traitement dans rpd, le démon unique qui concentre tout le plan de contrôle de Junos.

Deux failles exploitent précisément ce chemin. CVE-2026-33789 est un débordement de tampon sur la pile (CWE-121) dans le démon de routage : un pair BGP non authentifié peut envoyer des mises à jour de route forgées qui corrompent la mémoire du processus et provoquent un déni de service, « potentiellement » jusqu’à l’exécution de commandes avec les privilèges root. Le score est de 9,2 en CVSS v4.0. La seconde, CVE-2026-33796, est présentée par les analyses tierces comme une exécution de commandes root à distance lorsque la supervision de routes BMP est en service.

La mécanique importe moins que la surface. La plupart des failles d’un bulletin « 60+ correctifs » exigent une exposition sur le plan de gestion : J-Web, l’interface web embarquée, ou un accès console. Ici, l’attaquant n’a pas besoin d’un compte. Il lui suffit d’être un pair BGP — une position qu’un opérateur accorde par nature à ses transits, ses peers et ses partenaires d’interconnexion. Un réseau compromis en amont, un IXP intermédiaire, ou une erreur de filtre sur la session BGP suffisent à transformer un voisin de routage légitime en point d’entrée root.

J-Web, l’autre voie d’entrée massive

Le bulletin ne s’arrête pas au routage. Plusieurs failles critiques concernent J-Web, l’interface de gestion web que trop de déploiements laissent exposée.

CVE-2026-101954 permet une prise de contrôle complète du dispositif, sans authentification, quand J-Web est activé. CVE-2026-101986 est une exécution de script CGI en pré-authentification dans J-Web. CVE-2026-101983 permet l’exécution de code à distance via un domaine virtuel J-Web. Le schéma est familier : J-Web est pensé comme un outil de gestion, pas comme un service exposé à Internet, et chaque bulletin de Juniper récolte son lot de failles d’interface.

Un second bulletin, JSA112188, publié le même jour, ajoute 11 correctifs supplémentaires, dont CVE-2026-101956, une exécution de commandes root via J-Web. L’effet cumulé est clair : la messagerie de Juniper cette semaine tient en deux gestes — couper J-Web de l’exposition publique et vérifier BMP.

Ce que Juniper a corrigé, et jusqu’où remonte le périmètre

Le périmètre affecté est large, comme toujours avec Junos. D’après le bulletin, les versions corrigées couvrent l’essentiel des branches maintenues : 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5 et les branches 25.x correspondantes. Les versions antérieures à ces seuils restent vulnérables, et Juniper ne fournit de correctifs que pour les release trains encore en support. Une flotte qui traîne sur une branche 20.x ou 21.x en fin de vie n’aura pas de patch : la seule issue est la montée de version.

Le point notable, pour une fois, est l’absence d’exploitation. Juniper n’a signalé aucune attaque, et aucune preuve de concept publique n’a circulé au 15 octobre. C’est le contraire du schéma vu sur Palo Alto PAN-OS cette même semaine, où une faille de l’interface de gestion était déjà ciblée dans la nature au moment de la publication. Le fait que Juniper ait trouvé ces failles en interne — plutôt que par un rapport externe ou une attaque observée — change la fenêtre de risque : vous avez le temps de planifier, à condition de corriger avant qu’un exploit ne sorte.

Ce qu’il faut faire, et dans quel ordre

La priorité ne se joue pas sur le score CVSS mais sur deux questions d’inventaire. Premièrement : BMP est-il activé sur un routeur de bord ou un réflecteur de routes ? Deuxièmement : J-Web est-il joignable depuis autre chose que le réseau de gestion ?

# 1. BMP : chercher une configuration de monitoring de routes
show configuration | match "monitoring|bmp"
show bmp summary
# 2. J-Web : vérifier le service et l'exposition
show configuration system services | match "web-management"
show system services | match "web"

Si BMP est actif sur un routeur qui a des pairs BGP — même « de confiance » — traitez la faille comme une urgence, car la condition d’entrée est exactement la relation que vous avez déjà accordée à votre voisin. Si J-Web est activé et joignable hors du réseau de gestion, coupez-le immédiatement (deactivate system services web-management http / https), ou restreignez-le à une liste d’accès dédiée, indépendamment de tout correctif.

Le correctif lui-même suit la routine Junos : planifier une fenêtre de maintenance, monter vers la version corrigée de votre branche, puis revalider la configuration. Pour les flottes qui ne peuvent pas monter immédiatement, la mitigation de fond est la réduction de surface — désactiver BMP s’il n’est pas utilisé, et retirer J-Web de toute exposition.

Verdict

La charge réelle tient dans une seule vérification. Si vous activez BMP sur vos routeurs — et c’est une pratique qui gagne du terrain pour la télémétrie de routage — montez vers les versions corrigées de Juniper dès que possible : vous avez accordé à vos pairs BGP une position de départ, et la faille transforme cette position en root. Si votre flotte n’utilise ni BMP ni J-Web exposé, le bulletin reste un correctif de routine à planifier au prochain cycle, sans caractère d’urgence — mais ne laissez pas traîner une branche Junos en fin de vie, car celle-ci n’aura pas de patch du tout. Dans tous les cas, l’ordre des gestes est le même : couper J-Web, vérifier BMP, puis monter de version.

Références

• Juniper Networks — JSA112187, 2026-10 Security Bulletin: Junos OS and Junos OS Evolved: Multiple vulnerabilities resolved
• Halo Security — CVE-2026-33789: Juniper Junos OS BGP Stack-based Buffer Overflow
• Daily Security Review — Juniper, Dell, NLnet Labs and SonicWall Patch Critical Flaws (15 octobre 2026)
• HKCERT — Juniper Junos OS Multiple Vulnerabilities (15 octobre 2026)