Ce qu’il faut retenir
Peplink a publié un avis de sécurité sur une faille (CVE-2026-42945) touchant les composants du service web de ses équipements Balance (y compris MediaFast), MAX et FusionHub, sous firmware jusqu'à la version 8.5.4. Un attaquant distant, sans identifiants, pourrait envoyer des requêtes web spécialement conçues pour rendre l'équipement indisponible ou, dans le pire cas, exécuter du code à distance. Un correctif est disponible dans les firmwares 8.6.0 GA, 8.5.5 et 8.3.2. Le score de gravité, l'exposition réelle et une éventuelle exploitation active ne sont pas précisés dans la source consultée.
Qui est concerné ?
| Constructeur | Peplink |
| Versions concernées | Information non précisée dans la source consultée. |
| Source | Avis officiel Peplink |
Les organisations utilisant des équipements Peplink Balance (y compris la variante MediaFast), MAX ou FusionHub avec un firmware jusqu'à la version 8.5.4. Le niveau d'exposition à Internet de ces équipements n'est pas précisé : Information non précisée dans la source consultée.
Quel est le risque concret ?
Gravité technique : la source décrit une attaque distante, sans authentification, pouvant provoquer un déni de service (DoS) ou une exécution de code à distance (RCE). Le score CVSS n'est pas précisé : Information non précisée dans la source consultée. Impact métier : une indisponibilité de l'équipement pourrait perturber la connectivité réseau ou les liaisons qu'il assure. Une prise de contrôle pourrait affecter la confidentialité et l'intégrité des flux transitant par lui. L'ampleur réelle dépend du rôle de l'équipement et de son exposition, non précisés dans la source. Exploitation active connue : Information non précisée dans la source consultée.
Priorité de traitement
Justification : La faille est exploitable à distance sans authentification et peut mener à une exécution de code ou à un déni de service, sur des équipements réseau souvent structurants. Un correctif officiel est disponible, ce qui rend la remédiation simple à planifier. Le score CVSS, l'exposition Internet et l'exploitation active ne sont pas précisés dans la source ; la priorité pourra être ajustée selon ces éléments et selon l'exposition réelle du parc.
Que faut-il faire ?
- Mettre à jour le firmware des équipements Peplink Balance (y compris MediaFast), MAX et FusionHub vers la version 8.6.0 GA, qui corrige la vulnérabilité.
- À défaut, appliquer la version de maintenance correspondante : firmware 8.5.5 ou 8.3.2, qui contiennent également le correctif.
- Consulter l'avis officiel de l'éditeur pour les détails complémentaires : https://forum.peplink.com/t/peplink-security-advisory-balance-max-fusionhub-firmware-8-5-4-web-service-components-vulnerability-cve-2026-42945/61868
Recommandation Chrysalead
Identifier les équipements Peplink du parc et leur version de firmware, puis planifier la mise à jour vers 8.6.0 GA, 8.5.5 ou 8.3.2 selon la branche en place. Prioriser les équipements dont le service web est accessible depuis Internet, si cette information est confirmée en interne.
Détails techniques
| CVE | CVE-2026-42945 |
| Constructeur | Peplink |
| Score CVSS | Information non précisée dans la source consultée. |
| Exploitation connue | Information non précisée dans la source consultée. |
| Extrait de la source (en anglais) | Background Following a recent inquiry regarding a web service vulnerability (CVE-2026-42945), we have verified and confirmed that Peplink devices running firmware versions up to 8.5.4 are affected. Due to an outdated version of certain web service components, unauthenticated remote attackers could exploit specially crafted HTTP requests to trigger a Denial of Service (DoS) condition or achieve Remote Code Execution (RCE). For more details, please refer to the primary advisory article… |
Sources
- Firmware
- Logiciel embarqué qui fait fonctionner un équipement réseau, comparable à son système d'exploitation.
- Déni de service (DoS)
- Attaque visant à rendre un équipement ou un service indisponible, sans nécessairement en prendre le contrôle.
- Exécution de code à distance (RCE)
- Possibilité pour un attaquant d'exécuter ses propres commandes sur un équipement depuis l'extérieur.
- Sans authentification
- L'attaquant n'a pas besoin de identifiant ni de mot de passe pour tenter d'exploiter la faille.
- Requête HTTP spécialement conçue
- Message envoyé à un service web de manière volontairement anormale pour provoquer un comportement non prévu.
- Composants de service web
- Éléments logiciels qui permettent à l'équipement de gérer les échanges web, par exemple pour son interface d'administration. Ici, une version obsolète est en cause.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.