Comprendre les versions PAN-OS : lignes de version, versions de maintenance et suffixes -h1, -h2, -h3

Ce que dit un numéro de version PAN-OS

Une version PAN-OS comporte trois nombres et, parfois, un suffixe. Les deux premiers nombres désignent la ligne de version, que Palo Alto Networks appelle une version fonctionnelle (feature release) : 10.2, 11.1, 11.2, etc. Le troisième nombre compte les versions de maintenance de cette ligne, publiées pour corriger des problèmes sans ajouter de fonctionnalités. Le suffixe facultatif, écrit -h suivi d’un nombre, désigne un hotfix construit sur une version de maintenance donnée.

Chaque ligne de version possède son propre jeu de notes de version sur le site de documentation de l’éditeur, avec une page par version de maintenance (ses problèmes connus et les problèmes qu’elle corrige) et une page par hotfix (les problèmes qu’il corrige). La ligne possède aussi ses propres dates dans le récapitulatif de fin de vie de l’éditeur : date de publication, fin du support standard et fin du support étendu.

Lignes de version et versions de maintenance

Une version de maintenance appartient à une ligne et ne bouge qu’à l’intérieur de celle-ci : passer d’une version de maintenance à la suivante reste dans la ligne et ne change pas le périmètre fonctionnel. L’éditeur organise ses notes de version de sorte que chaque version de maintenance liste les problèmes qu’elle corrige ; une version de maintenance ultérieure de la même ligne est publiée avec les correctifs des précédentes, ce qui explique que les bulletins nomment une première version corrigée par ligne (« corrigé dans cette version et les versions ultérieures de la ligne »).

Les lignes coexistent. Une même vulnérabilité est généralement corrigée par une version différente dans chaque ligne encore maintenue, et une ligne arrivée en fin de vie ne reçoit aucun correctif. Lire un bulletin commence donc par trouver sa ligne, puis la première version corrigée indiquée pour elle.

Les suffixes -h1, -h2, -h3 : les hotfix

Un hotfix est une construction d’une version de maintenance qui corrige une courte liste de problèmes, souvent un correctif de sécurité qui ne pouvait pas attendre la version de maintenance suivante. Son suffixe compte les hotfix de cette version de maintenance : -h1 est le premier hotfix d’une version de maintenance, -h7 le septième. Le suffixe repart de zéro à chaque version de maintenance : le -h1 d’une version de maintenance n’a aucun lien avec le -h1 de la suivante.

Le suffixe de hotfix fait partie de l’identifiant qu’un bulletin emploie. Quand un bulletin de sécurité indique qu’une vulnérabilité est corrigée dans un hotfix, la version de maintenance nue qu’il surmonte est affectée : un lecteur qui omet le suffixe croira un correctif installé alors qu’il ne l’est pas. Patcharo compare les versions avec leur suffixe : une fiche avec le suffixe et une fiche sans lui reçoivent des réponses différentes.

Où lire ce qu’une version corrige et ce qu’elle conserve

Chaque jeu de notes de version comporte un chapitre Known and Addressed Issues : une page par version de maintenance avec ses problèmes connus et ses problèmes corrigés, et une page par hotfix. Les problèmes portent les identifiants de l’éditeur (PAN- suivi de chiffres) et, quand un correctif ferme une vulnérabilité, l’identifiant CVE figure dans l’entrée ou dans le bulletin qui nomme la version.

• Pour savoir si une version corrige une vulnérabilité, lisez le bulletin de sécurité : il nomme la première version corrigée par ligne, suffixes de hotfix compris.
• Pour savoir ce qui a changé par ailleurs dans une version, lisez sa page Addressed Issues ; pour savoir ce que l’éditeur liste encore comme défectueux, lisez sa page Known Issues.
• Pour savoir si une version existe pour votre modèle, lisez la matrice de compatibilité, qui liste les versions prises en charge par plateforme.
• Pour savoir combien de temps la ligne est maintenue, lisez le récapitulatif de fin de vie.

Ce que le numéro seul ne vous dit jamais

• Si une vulnérabilité est corrigée : seules les versions corrigées du bulletin le disent, et elles diffèrent par ligne.
• Si la version fonctionne sur votre plateforme ou avec votre Panorama : la matrice de compatibilité et le guide de mise à niveau le disent.
• Si l’éditeur la recommande : ses préconisations sont publiées aux clients dans son portail, pas dans le numéro.
• Si la ligne est encore maintenue : le récapitulatif de fin de vie le dit, et un bulletin ne liste aucun correctif pour une ligne en fin de vie.

Lire le numéro est la première étape. Choisir la version à installer est une décision qui pèse les correctifs nécessaires, la plateforme, le serveur de gestion, le chemin de mise à niveau et les préconisations de l’éditeur : le guide suivant la déroule.

Les versions PAN-OS actuelles, telles que le catalogue les lit

Patcharo lit la table des matières des notes de version de chaque ligne sur le site de documentation de l’éditeur, environ toutes les six heures, et liste chaque version de maintenance et chaque hotfix qu’elle nomme. Le bloc ci-dessous est cette lecture, avec le jour de sa dernière vérification ; la page du produit liste toutes les lignes et toutes les versions.

Erreurs fréquentes

• Omettre le suffixe -h en enregistrant une version, ce qui transforme un pare-feu corrigé en pare-feu affecté, ou l’inverse.
• Considérer la version de maintenance la plus récente comme la version recommandée : la préconisation de l’éditeur est une information distincte.
• Lire un correctif indiqué pour une ligne comme valable pour une autre ligne.
• Supposer qu’un hotfix est cumulatif, ou que la version de maintenance suivante l’inclut, sans lire les pages Addressed Issues.

À vérifier avant d’agir

• La chaîne de version exacte de l’équipement, suffixe compris, telle que l’équipement lui-même l’affiche.
• La première version corrigée que le bulletin nomme pour votre ligne, et la formulation de l’éditeur sur les versions ultérieures.
• La matrice de compatibilité pour votre plateforme et les exigences Panorama du guide de mise à niveau.
• Les dates de fin de vie de votre ligne dans le récapitulatif de fin de vie.

Sources

Les documents officiels sur lesquels ce guide repose, relus face au texte le 19 oct. 2026. Rien n’en est recopié : lisez-les pour la formulation qui fait foi.

• PAN-OS 11.1 Release Notes: Known and Addressed Issues

  Palo Alto Networks TechDocs · One page per maintenance release and per hotfix, the structure this guide describes.

• PAN-OS Upgrade Guide

  Palo Alto Networks TechDocs · Release types and the upgrade considerations the vendor documents.

• Compatibility Matrix

  Palo Alto Networks TechDocs · Which releases each model supports.

• End-of-Life Summary

  Palo Alto Networks · The release dates and end-of-life dates of each PAN-OS release line.

• Palo Alto Networks Security Advisories

  Palo Alto Networks PSIRT · The first fixed releases an advisory names, hotfix suffixes included.