Sophos XG en fin de vie : dates, limites SFOS et passage à XGS

Tous les pare-feu Sophos XG sont désormais en fin de vie. Les derniers modèles, du XG 86 de bureau au XG 750 en rack, ont atteint leur fin de vie le 31 mars 2025. Les XG 85 et XG 105 avaient suivi ce chemin dès août 2022. La première génération de XGS de bureau est la suivante : la commercialisation est terminée et la fin de vie tombe le 30 septembre 2030.

La plupart des pages s'arrêtent à ces dates et à une offre de reprise. Celle-ci couvre aussi le plafond firmware de chaque modèle, les vulnérabilités que traînent les anciennes versions de SFOS, ce que le passage à XGS implique concrètement, et les cas où remplacer un XG par un autre boîtier n'est pas la bonne réponse.

Dates de fin de vie des Sophos XG

Sophos a arrêté la commercialisation de la plupart des modèles XG le 30 septembre 2021. Le dernier renouvellement d'un an pouvait courir jusqu'au 31 mars 2024, les dernières commandes de renouvellement ont été acceptées jusqu'au 31 janvier 2025, et la fin de vie a suivi le 31 mars 2025. Depuis cette date, le matériel XG ne reçoit plus ni support, ni firmware, ni correctifs de sécurité, quel que soit l'abonnement qui y est associé.

Ce que chaque jalon arrête

Sophos utilise trois jalons pour le matériel. La fin de commercialisation met fin aux nouvelles commandes de l'appliance. Le dernier renouvellement est la dernière date jusqu'à laquelle un abonnement peut courir sur le modèle ; au-delà, les services de protection ne peuvent plus être prolongés. La fin de vie met fin au support matériel, aux remplacements, à la maintenance logicielle et aux mises à jour de sécurité.

Pour les XG, les trois jalons sont dépassés. Un XG encore en production aujourd'hui tourne avec le firmware et les signatures qu'il a reçus en dernier.

Source : calendrier de retrait de Sophos pour Sophos Firewall, SG UTM et produits associés (KBA-000003353).

Les anciennes appliances SG sous Sophos UTM 9 ont atteint leur fin de vie le 30 juin 2026. Cette gamme a sa propre logique de migration, détaillée dans Sophos UTM en fin de vie. Le suivi des fins de vie tous fabricants confondus place ces dates à côté de celles de Fortinet, Palo Alto et d'autres.

Versions SFOS et plafond par modèle

C'est le matériel qui détermine la version de SFOS qu'une appliance peut faire tourner. Les XG 85 et XG 105, avec 2 Go de mémoire, s'arrêtent à SFOS 17.5. Tous les autres modèles XG s'arrêtent à SFOS 20.0 MR3. SFOS 21 et les versions suivantes ne tournent que sur les appliances XGS, virtuelles et cloud, et les XGS de bureau de deuxième génération exigent au minimum SFOS 20.0 MR1.

Sophos assure le support de SFOS par maintenance release, et non par version majeure. Voici les versions encore pertinentes pour les XG et les premiers XGS :

Source : calendrier de retrait de Sophos (KBA-000003353).

Un détail prête facilement à confusion. SFOS 20.0 MR3 est toujours maintenue, mais sur les appliances XGS et virtuelles. Le matériel XG en fin de vie ne bénéficie pas de cette maintenance, même s'il tourne sur la même version.

Exposition aux failles sur les anciennes versions de SFOS

Les pare-feu Sophos ont été ciblés à plusieurs reprises. La CISA répertorie trois vulnérabilités SFOS comme exploitées dans la nature, et plusieurs failles critiques ultérieures n'ont été corrigées que par des hotfixes réservés aux versions supportées.

Source : catalogue Known Exploited Vulnerabilities de la CISA et avis de sécurité de Sophos.

Deux conclusions. Un XG sous SFOS 20.0 GA ou MR1 se trouve hors de toutes les listes de hotfixes ultérieures, et un XG sous 17.5 ou 18.x porte des failles que des attaquants ont activement exploitées. Et pour le matériel XG au-delà du 31 mars 2025, la position de Sophos est que le support logiciel s'arrête à la fin de vie : ne comptez donc pas sur des correctifs publiés après cette date.

Plusieurs de ces failles se situent dans le User Portal et Webadmin. Quelle que soit votre décision sur le matériel, ne les exposez pas à Internet.

Dans le cadre de NIS2, l'article 21 exige la gestion des vulnérabilités et une hygiène informatique de base sur des systèmes comme un pare-feu périmétrique. En Belgique, CyFun exige des mises à jour de sécurité à chaque niveau d'assurance. Un XG en fin de vie ne satisfait par définition à aucune des deux exigences.

Le passage à XGS : reprise, licences et configuration

Passer de XG à XGS est la migration la plus simple que propose Sophos, car les deux tournent sous SFOS. Ce n'est pas pour autant un simple copier-coller. Trois éléments déterminent la fluidité de l'opération : les conditions commerciales, le chevauchement des licences et la restauration de la configuration.

Reprise et licences

Avant la fin de vie, Sophos proposait des promotions de reprise aux clients XG : jusqu'à 99 % de remise sur le matériel XGS avec un abonnement Xstream Protection de trois ans, trois ans pour le prix de deux, ou 50 % de remise sur le matériel avec une durée d'un an. Ces offres étaient liées au cycle de vie des XG ; demandez donc à votre partenaire ce qui s'applique aujourd'hui avant de les intégrer à votre budget.

Côté licences, Sophos décrit un droit d'utilisation qui se chevauche en cas de renouvellement anticipé de XG vers XGS. La licence XGS démarre au traitement de la commande, la période XGS payante commence le lendemain de l'expiration de la licence XG, et la licence XG reste valable jusqu'à la fin de son contrat. Seuls les renouvellements anticipés sont éligibles. Les nouvelles licences, les extensions et les renouvellements dans les délais ou en retard ne le sont pas, pas plus que MSP Flex. Des praticiens indiquent avoir payé des mois en double après avoir renouvelé leur XG pour un an, puis avoir dû migrer avant la fin de cette période.

Restauration de la configuration

• D'abord la version. Mettez le XG à niveau vers une version récente ; la sauvegarde doit provenir de SFOS 19.5 MR4 ou ultérieure pour être restaurée sur SFOS 20.0 MR2 ou ultérieure sur le XGS.
• Correspondance des ports. À partir de SFOS 20.0 MR2, un backup-restore assistant fait correspondre les interfaces lorsque la disposition des ports diffère. Une sauvegarde XG en HA peut être restaurée sur un XGS sans désactiver la HA au préalable. Des fils de discussion de la communauté signalent que l'assistant n'apparaît pas toujours : vérifiez donc chaque interface, VLAN et bridge après la restauration.
• Anciens points d'accès. Les AP 15, 55 et 100 ne sont plus supportés à partir de SFOS 21.5, et XGS ne prend en charge aucun ancien modèle d'AP à l'exception de l'AP 100X. Les AP 5, 10, 30 et 50 avaient déjà été abandonnés avec SFOS 18.5. Les sites qui les gèrent depuis le pare-feu ont besoin de nouveaux points d'accès.
• Anciens tunnels RED. SFOS 21.5 est la dernière version qui prend en charge les modes serveur et client RED historiques. La mise à niveau vers 22.0 ne démarre pas tant qu'une telle configuration existe. Reconstruisez ces tunnels avant de passer au firmware actuel.

Ce que vous gagnez et perdez avec XGS

XGS ajoute un processeur de flux Xstream dédié à côté du processeur principal. Le trafic de confiance lui est délégué après inspection, ce qui libère le processeur principal pour l'inspection TLS et la protection contre les menaces. Les chiffres montrent la différence.

Source : brochure Sophos XG Firewall et spécifications produit Sophos XGS. Les deux générations ont été testées dans des conditions différentes ; considérez la comparaison comme indicative.

Le gain est important, surtout pour l'inspection TLS, où un XG 125 est pratiquement inutilisable sur une connexion internet moderne. Ce que vous perdez : les anciens points d'accès et tunnels RED qui fonctionnaient sur le XG, le temps passé à vérifier la configuration restaurée et, si vous choisissez un XGS de première génération issu de fins de stock, un boîtier dont la fin de vie est déjà programmée pour 2030. Choisissez la deuxième génération.

Rester sur le XG a aussi un prix, même sans facture. Aucun correctif firmware, aucune mise à jour de protection garantie, un écart croissant avec une version SFOS supportée pour la future restauration, et un constat lors de tout audit NIS2 ou CyFun. La checklist de mise hors service d'un pare-feu explique comment retirer correctement l'ancien boîtier.

Si l'accès à distance et le filtrage web constituent l'essentiel du travail de votre XG, c'est le moment de tester l'alternative avant d'acheter du matériel. Vous pouvez essayer Jimber gratuitement sur un site ou un groupe d'utilisateurs.

Quand ne pas remplacer le XG à l'identique

Un XGS est la bonne réponse lorsque le pare-feu accomplit un travail que seul un boîtier local peut faire : router et inspecter le trafic entre VLAN internes, protéger une salle serveurs qui héberge la plupart des applications, ou isoler des appareils grâce à l'intégration de Sophos avec sa propre protection des postes de travail.

Dans les entreprises de taille moyenne, beaucoup de XG font autre chose. Ils terminent le VPN SSL ou IPsec des collaborateurs à distance, filtrent le trafic web d'utilisateurs souvent absents du bureau et relient les agences par des tunnels site à site pour atteindre des applications qui tournent désormais dans Microsoft 365. Pour ces sites, un remplacement à l'identique reconduit une architecture où le trafic distant est rapatrié vers le bureau et où le portail VPN reste exposé à Internet, ce même portail par lequel sont passées plusieurs des vulnérabilités ci-dessus.

L'alternative consiste à sortir ces tâches du boîtier. L'accès à distance passe au zero trust network access, sans portail en écoute. La sécurité web passe à une secure web gateway dans le cloud, au plus près de l'utilisateur. Les agences utilisent un équipement SD-WAN léger au lieu d'un pare-feu. Jimber fournit le firewall-as-a-service, le ZTNA, une secure web gateway et le SD-WAN sur une seule plateforme européenne, avec un traitement des données dans l'UE. Le plan en 30 jours de la fin de vie au SASE détaille les étapes. Les propriétaires d'autres gammes vieillissantes font face au même choix ; voir SonicWall TZ et NSA, WatchGuard Firebox et Palo Alto PA-220 et PA-800.

Les arguments pour rester chez Sophos

Un bon partenaire Sophos avancera trois arguments légitimes.

« Synchronized Security ne fonctionne qu'avec un pare-feu Sophos. » Avec la protection des postes de travail de Sophos, le pare-feu reçoit l'état de santé de chaque appareil et peut isoler immédiatement une machine compromise. Une plateforme cloud distincte rompt cette boucle, à moins de l'intégrer. Pour les organisations qui utilisent à la fois la protection des postes de travail et la détection managée de Sophos, c'est une vraie raison de rester.

« Le trafic local doit rester sur un boîtier local. » C'est exact. Le trafic multigigabit entre réseaux internes, comme des fichiers CAO, de l'imagerie ou des sauvegardes vers un NAS local, ne devrait pas faire l'aller-retour vers le cloud. Un XGS le traite à la vitesse du câble. Cela plaide pour un pare-feu local là où ce trafic existe, pas pour y faire transiter les utilisateurs distants.

« Passer de XG à XGS est la voie la moins perturbante. » L'équipe connaît SFOS, la restauration conserve l'essentiel de la configuration, et un XGS amorti sur cinq ans représente un coût prévisible. C'est vrai pour la migration elle-même. Cela ne change rien à la prochaine date de fin de vie, déjà fixée à 2030 pour la première génération de XGS, ni à la question de savoir quelles tâches ont réellement besoin d'un boîtier.

Conclusion

Tous les Sophos XG sont en fin de vie, et les appareils encore en service tournent avec un firmware qui ne reçoit plus de correctifs. Si vous passez à XGS, choisissez la deuxième génération, vérifiez la version SFOS et la restauration, et anticipez le sort des anciens points d'accès et tunnels RED. Avant de commander, vérifiez lesquelles des tâches du XG nécessitent encore un pare-feu dans le bâtiment.

Si l'accès à distance et la sécurité web sont l'essentiel de ce que fait votre XG, essayez gratuitement sur un site. Ou réservez une démo et nous passerons ensemble en revue votre parc Sophos.

Questions fréquentes

Quand les pare-feu Sophos XG ont-ils atteint leur fin de vie ?

La plupart des modèles XG ont atteint leur fin de vie le 31 mars 2025, après une fin de commercialisation le 30 septembre 2021. Les XG 85, 85w, 105 et 105w ont atteint leur fin de vie plus tôt, le 17 août 2022. Depuis, le matériel XG ne reçoit plus ni support, ni firmware, ni correctifs de sécurité.

Un Sophos XG peut-il faire tourner SFOS 21 ?

Non. Les XG 86 à XG 750 s'arrêtent à SFOS 20.0 MR3, et les XG 85 et 105 à SFOS 17.5. SFOS 21 et les versions suivantes ne tournent que sur les appliances XGS, virtuelles et cloud.

Que se passe-t-il si je continue d'utiliser un XG après sa fin de vie ?

L'appliance continue de faire passer le trafic, mais Sophos ne fournit plus de support logiciel, de correctifs ni de remplacements, quel que soit l'abonnement associé. Les nouvelles vulnérabilités restent ouvertes, et un pare-feu périmétrique non supporté constitue un constat au regard de NIS2 et de CyFun.

Quand les pare-feu Sophos XGS atteignent-ils leur fin de vie ?

Les XGS de bureau de première génération (87, 107, 116, 126, 136 et variantes w) atteignent leur fin de vie le 30 septembre 2030, avec un dernier renouvellement le 30 septembre 2029. Aucune date de fin de vie n'a été annoncée pour les modèles de bureau de deuxième génération (88 à 138) ni pour les XGS en rack.

Quelle est la date de fin de vie du Sophos XG 125 ?

Les XG 125 et 125w ont atteint leur fin de commercialisation le 30 septembre 2021 et leur fin de vie le 31 mars 2025. Leur dernière version SFOS est la 20.0 MR3. Le XGS 128 de deuxième génération est le modèle de bureau actuel le plus proche.

Puis-je restaurer une sauvegarde XG sur un XGS ?

Oui, si les versions concordent. La sauvegarde doit provenir de SFOS 19.5 MR4 ou ultérieure et être restaurée sur SFOS 20.0 MR2 ou ultérieure, où un backup-restore assistant fait correspondre les interfaces entre les dispositions de ports. Vérifiez ensuite chaque interface.

Mes anciens points d'accès Sophos fonctionnent-ils avec XGS ?

Pour la plupart, non. XGS ne prend en charge aucun ancien modèle d'AP à l'exception de l'AP 100X. Les AP 15, 55 et 100 ne sont plus supportés à partir de SFOS 21.5, et les AP 5, 10, 30 et 50 ont été abandonnés avec SFOS 18.5.

Comment fonctionnent les licences lors du passage de XG à XGS ?

Pour les renouvellements anticipés, Sophos accorde un droit d'utilisation qui se chevauche : la licence XGS démarre au traitement de la commande, la période XGS payante commence après l'expiration de la licence XG, et la licence XG reste valable jusqu'à son terme. Les renouvellements dans les délais, en retard et MSP Flex ne sont pas éligibles.

Quand Sophos UTM et SG ont-ils atteint leur fin de vie ?

Sophos UTM 9 et les appliances SG ont atteint leur fin de vie le 30 juin 2026. Les clients disposant d'une licence valide conservent le support jusqu'à l'expiration de leur licence ou jusqu'au 31 décembre 2026, selon la première échéance. Les configurations UTM ne peuvent pas être restaurées sur SFOS et doivent être reconstruites.