La cause du problème a été identifiée : dimanche matin, à 6h43, le programme unattended-upgrades a appliqué automatiquement des mises à jour de sécurité des paquets libvirt-*, mais sans relancer le firewall. C'est normal, il ne pouvait pas vraiment deviner.
Et malheureusement, cet incident s'est produit en plein milieu d'un week-end de 3 jours, alors que la plupart des sysadmins étaient loins de leurs claviers... D'où cette longue indisponibilité des services Chapril :(