Ce qu’il faut retenir
Plusieurs failles ont été identifiées dans le composant OpenSSH (version inférieure à 10.3) intégré aux routeurs Peplink Balance, MAX et FusionHub, dans les firmwares jusqu'à la version 8.5.4. Ces équipements ne sont concernés que si l'option « CLI SSH & Console » est activée, ce qui n'est pas le cas par défaut. Un correctif est disponible dans les firmwares 8.6.0 GA et 8.5.5. Le score de gravité, le type d'attaque et une éventuelle exploitation active ne sont pas précisés dans la source consultée.
Qui est concerné ?
| Constructeur | Peplink |
| Versions concernées | Information non précisée dans la source consultée. |
| Source | Avis officiel Peplink |
Les organisations utilisant des équipements Peplink Balance (y compris avec MediaFast), MAX ou FusionHub avec un firmware jusqu'à la version 8.5.4, et pour lesquels l'option « CLI SSH & Console » est activée dans Web Admin > System > Admin Security. Les équipements dont cette option est désactivée (réglage par défaut) ne sont pas vulnérables selon l'éditeur.
Quel est le risque concret ?
Gravité technique : Information non précisée dans la source consultée (aucun score CVSS ni type d'attaque communiqué). Impact métier : Information non précisée dans la source consultée. La source indique seulement que cinq vulnérabilités (CVE-2026-35385, CVE-2026-35386, CVE-2026-35387, CVE-2026-35388, CVE-2026-35414) touchent le composant OpenSSH utilisé pour l'accès en ligne de commande. L'exposition à Internet et l'exploitation active ne sont pas précisées non plus.
Priorité de traitement
Justification : Un correctif et un contournement officiels existent, et les équipements ne sont vulnérables que si l'option SSH CLI est activée, ce qui n'est pas le cas par défaut. En revanche, la source ne précise ni le score CVSS, ni l'exposition à Internet, ni le type d'attaque, ni une éventuelle exploitation active. Il faut donc d'abord confirmer l'état de configuration du parc avant de fixer le niveau d'urgence.
Que faut-il faire ?
- Vérifier si l'option « CLI SSH & Console » est activée dans Web Admin > System > Admin Security sur les équipements Peplink concernés.
- Si cette option est activée et que l'équipement exécute un firmware affecté (jusqu'à 8.5.4), la désactiver manuellement à titre de contournement (workaround officiel).
- Mettre à jour le firmware vers la version 8.6.0 GA (Balance, MAX, MediaFast et FusionHub) ou vers la version de maintenance 8.5.5, qui corrigent le problème.
Recommandation Chrysalead
Recenser les équipements Peplink Balance, MAX et FusionHub, contrôler l'état de l'option « CLI SSH & Console », puis planifier la mise à jour vers 8.6.0 GA ou 8.5.5. Désactiver l'option dans l'intervalle si elle n'est pas indispensable.
Détails techniques
| CVE | CVE-2026-35385, CVE-2026-35386, CVE-2026-35387, CVE-2026-35388, CVE-2026-35414 |
| Constructeur | Peplink |
| Score CVSS | Information non précisée dans la source consultée. |
| Exploitation connue | Information non précisée dans la source consultée. |
| Extrait de la source (en anglais) | Background Courtesy of a notification from @aungkyaw_khine, multiple vulnerabilities have been identified in the OpenSSH component (< 10.3) embedded in router firmware versions up to 8.5.4 (as highlighted in this post). A Peplink appliance is only vulnerable if the [CLI SSH & Console] option is enabled under Web Admin > System > Admin Security. The relevant CVEs associated with the OpenSSH component are: CVE-2026-35385 CVE-2026-35386 CVE-2026-35387 CVE-2026-35388 CVE-2026-35414 Products Affected… |
- OpenSSH
- Logiciel qui permet de se connecter à distance à un équipement de manière chiffrée pour l'administrer.
- CLI SSH & Console
- Option des routeurs Peplink qui autorise l'administration de l'équipement en ligne de commande via une connexion sécurisée (SSH). Elle est désactivée par défaut.
- Firmware
- Logiciel interne qui fait fonctionner un équipement réseau comme un routeur.
- CVE
- Numéro d'identification unique attribué à une vulnérabilité connue publiquement.
- Workaround (contournement)
- Mesure temporaire, ici la désactivation de l'option SSH CLI, qui réduit le risque en attendant l'installation du correctif.
- CVSS
- Score de 0 à 10 qui mesure la gravité technique d'une vulnérabilité. Il n'est pas précisé dans la source consultée.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.