Bulletin de sécurité Juniper JSA112187 (octobre 2026) : évaluation de l’impact sur les réseaux des FAI et des centres de données

Le 14 octobre 2026, Juniper a publié le bulletin groupé JSA112187 couvrant 109 vulnérabilités dans Junos OS et Junos OS Evolved, avec une évaluation globale « Critical » (CVSS jusqu’à 9,8). Toutes les versions antérieures aux versions corrigées sont concernées. L’exposition réelle dépend de la configuration : la plupart des vulnérabilités n’apparaissent que si un protocole, une option ou un service précis est activé. L’évaluation ci-dessous regroupe les vulnérabilités par fonction et fixe la priorité de mise à jour pour les configurations courantes des réseaux de FAI et de centres de données.

Priorités de mise à jour

État de la menace

• Juniper SIRT n’a connaissance d’aucune exploitation des vulnérabilités du bulletin ; elles ont été découvertes lors de tests internes.
• Au 20 octobre 2026, aucune ne figure dans le catalogue CISA Known Exploited Vulnerabilities et aucun exploit public n’est disponible.
• En 2023, après la publication d’un exploit pour les vulnérabilités de J-Web (CVE-2023-36844 et suivantes), les tentatives d’attaque ont commencé le jour même de la publication.

Versions corrigées

La version logicielle se vérifie avec la commande :

show version | match "Junos:"

Points d’attention :

• Versions republiées (respin). Pour les branches 23.2, 23.4 et 24.2, Juniper a republié des versions déjà publiées. C’est le numéro complet qui détermine le statut : 23.4R2-S7.4 est vulnérable, 23.4R2-S8.13 intègre les correctifs.
• Versions antérieures à 23.2. Le bulletin couvre toutes les versions antérieures à 23.2R2-S7.7, mais Juniper ne publie pas de correctifs pour les branches en fin de support. En 21.x et 22.x, une migration vers une branche supportée est nécessaire.
• 23.4X100-EVO n’a pas de version corrigée dans ce bulletin ; un changement de branche est nécessaire.

BGP FlowSpec

Le groupe le plus grave. Il concerne les routeurs qui acceptent des règles BGP FlowSpec d’un système de détection DDoS, d’un opérateur amont ou de clients.

L’exploitation nécessite un voisin BGP configuré qui envoie une règle forgée. Lorsque les règles proviennent uniquement du système de détection de l’opérateur, le risque se limite à une compromission de ce système. L’acceptation de FlowSpec de clients (filtrage en libre-service) ou d’un opérateur amont doit être considérée comme une exposition critique. Juniper n’indique pas d’autre contournement que la désactivation de FlowSpec.

Vérification :

show configuration protocols bgp | display set | match "flow"
show configuration system processes routing | display set | match update-threading
show configuration routing-options bmp

J-Web et services d’administration

Sur les routeurs de bordure, il est recommandé de désactiver J-Web ou d’en restreindre l’accès au réseau d’administration (OOB), indépendamment du calendrier de mise à jour. L’accès SNMP doit être limité par le filtre lo0 aux serveurs de supervision.

Vérification :

show configuration system services | display set | match "web-management|service-deployment"
show configuration snmp | display set | match community
show configuration access | display set

Sessions eBGP

Les sessions eBGP avec les clients et sur les points d’échange sont établies avec des équipements que l’opérateur ne gère pas. Les vulnérabilités suivantes permettent à un tel voisin de faire planter rpd et, par conséquent, de provoquer la perte du routage sur l’équipement.

CVE-2026-101976 a la portée la plus large : sa seule condition est une session eBGP. Pratiquement tous les routeurs modernes négocient la prise en charge de l’AS sur 4 octets, mais un voisin peut la désactiver délibérément. La vulnérabilité concerne les équipements ayant des sessions BGP avec des clients, des transitaires et des voisins sur les points d’échange Internet.

Vérification :

show bgp neighbor | match "Peer:|4 byte"

Protocoles L2 et IGP sur les interfaces clients

Les vulnérabilités de type « adjacent » exigent un accès au même segment L2 ou un voisinage protocolaire. Dans les réseaux d’accès, un client dans un VLAN d’abonné remplit cette condition.

Une partie de l’exposition peut être réduite par la configuration avant la mise à jour :

• LLDP limité aux liens vers l’infrastructure de l’opérateur au lieu de interface all ;
• interfaces clients dans OSPF avec l’option passive : le sous-réseau reste dans la LSDB et le routeur ne traite pas les paquets OSPF provenant de cette direction ;
• BFD avec les clients uniquement là où il est nécessaire.

Vérification :

show configuration protocols lldp | display set
show ospf interface
show bfd session

MC-LAG

Le bulletin comprend six vulnérabilités MC-LAG (ICCP et synchronisation MAC) : CVE-2026-102035, -102033, -102034, -101994, -101995 et -101996. L’origine de l’attaque est un voisin ICCP, c’est-à-dire l’autre nœud de la paire, ce qui suppose un accès au réseau entre les nœuds. Avec un ICCP sur un lien ou un VLAN dédié, le risque est faible ; une mise à jour lors de la prochaine fenêtre de maintenance est recommandée.

MPLS

LDP et RSVP regroupent une quinzaine de vulnérabilités, dont CVE-2026-101981 (8,8), qui permet à un voisin LDP de compromettre le Routing Engine. Cela concerne les réseaux dotés d’un cœur MPLS. Avec LDP et RSVP activés uniquement sur des liens internes, une mise à jour lors de la prochaine fenêtre de maintenance est recommandée ; s’ils sont activés sur des interfaces clients, la mise à jour est prioritaire (show ldp interface, show rsvp interface).

EVPN, EVPN-VXLAN et SRv6

Une quinzaine de vulnérabilités concernent EVPN, EVPN-VXLAN et SRv6, dont CVE-2026-101982 (9,8) avec EVPN-VPWS. C’est important pour les fabrics de centres de données et les services L2VPN. Les voisins EVPN sont généralement des équipements de l’opérateur ; le risque dépend de la possibilité, pour un tiers, d’établir une session BGP EVPN. Une mise à jour lors de la prochaine fenêtre de maintenance est recommandée.

Fonctions d’usage limité

Les groupes suivants exigent des fonctions rarement utilisées en bordure des réseaux de FAI et de centres de données. Si la fonction est désactivée, les vulnérabilités sont sans impact :

• BGP-LS et ingénierie de trafic : CVE-2026-101991, -102044, -102022, -102020 ;
• multicast et MVPN : PIM, MSDP, Auto-RP, Rosen MVPN, MVPN inter-AS, interception légale multicast ;
• VPLS avec site-ID automatique, BGP Prefix-SID en eBGP (accept-prefix-sid), ISO-VPN, extended-nexthop-tunnel, RIB sharding, télémétrie de la RIB BGP ;
• provisionnement : phone-home et SZTP via DHCP (surtout EX, SRX et QFX), DHCPv4 local-client, 802.1X et Unified Access Policy ;
• RIP, IS-IS avec Flex-Algo ou backup selection, GMPLS.

Deux vulnérabilités locales (CVE-2026-101927 et -101934 dans eventd) exigent un compte sur l’équipement et sont pertinentes lorsque des comptes sont attribués à des personnes extérieures à l’équipe réseau.

Recommandations

• Mise à jour vers la version corrigée de la branche en cours, conformément au tableau ci-dessus.
• Priorité élevée pour les équipements avec BGP FlowSpec, des sessions eBGP avec des tiers et un J-Web ou un SNMP accessibles depuis le réseau.
• Indépendamment de la mise à jour : J-Web désactivé, SNMP limité par le filtre lo0, LLDP restreint aux liens d’infrastructure, interfaces clients en passive dans OSPF.

ITORO déploie et exploite des passerelles de filtrage sur Juniper MX avec BGP FlowSpec ; la revue a porté en priorité sur les installations exploitées par ITORO.

Source : Juniper JSA112187, 2026-10 Security Bulletin: Junos OS and Junos OS Evolved et les fiches CVE individuelles.