SonicWall corrige deux failles zero-day critiques activement exploitées (juillet 2026)

SonicWall a corrigé deux failles zero-day sur ses appareils de la série SMA1000, après que des chercheurs en sécurité les ont surpris activement exploitées depuis au moins le 22 juin. Il s’agit d’un incident distinct de la faille SSL-VPN SonicWall à l’origine de la brèche touchant plus de 70 banques et coopératives de crédit rapportée en juin, un rappel que les appareils VPN d’entreprise ont vécu une année 2026 vraiment difficile.

Les failles

CVE-2026-15409 est une faille critique de type server-side request forgery (score CVSS de 10.0, le maximum possible) dans l’interface Work Place des appareils SMA1000, permettant à un attaquant distant et non authentifié de forcer l’appareil à effectuer des requêtes vers des destinations de son choix. CVE-2026-15410 est une faille d’injection de code post-authentification, de sévérité élevée (CVSS 7.2), dans la console de gestion, permettant à un compte administrateur authentifié d’exécuter des commandes système arbitraires. Combinées, ces deux failles offraient aux attaquants un chemin allant d’un accès nul à la compromission totale de l’appareil.

Les équipements concernés sont les SMA6210, SMA7210 et SMA8200v de SonicWall, la série SMA1000 utilisée par les entreprises pour fournir un accès distant sécurisé, en somme des passerelles VPN d’entreprise.

Comment les attaquants les ont utilisées

Des chercheurs de Rapid7 et Volexity, qui ont suivi l’exploitation jusqu’à un acteur malveillant désigné UTA0533, ont découvert que les deux failles étaient exploitées en tandem pour un accès initial discret. Une fois à l’intérieur, les attaquants extrayaient des données à forte valeur : identifiants stockés, bases de sessions actives, et configurations de graines TOTP pour l’authentification à deux facteurs. Récupérer les graines MFA est le détail qui rend ce cas pire qu’un simple vol d’identifiants : cela permet à un attaquant de générer des codes à deux facteurs valides et de conserver un accès de longue durée même après une réinitialisation des mots de passe, à moins que les graines MFA elles-mêmes ne soient aussi renouvelées.

Chronologie

L’exploitation a débuté dès le 22 juin 2026, selon l’analyse de Volexity. SonicWall a alerté ses clients directement avant la divulgation publique, leur conseillant de contacter le support pour obtenir les correctifs (versions 12.4.3-03453 et 12.5.0-02835) avant leur publication le 14 juillet. La CISA a ajouté les deux CVE à son catalogue des vulnérabilités activement exploitées et a ordonné aux agences fédérales civiles américaines de corriger avant le 17 juillet 2026, et de vérifier si leurs propres appareils avaient déjà été compromis.

Pourquoi cela arrive encore à SonicWall spécifiquement

C’est le deuxième incident VPN majeur touchant SonicWall à faire les gros titres en autant de mois. En juin, une faille distincte SSL-VPN permettant de contourner l’authentification à deux facteurs avait été exploitée par le groupe de ransomware Akira pour pénétrer Marquis Software Solutions, un prestataire de banques communautaires et coopératives de crédit, exposant les données de plus de 70 établissements. Cette faille et celle-ci concernent des vulnérabilités différentes sur des gammes de produits différentes, mais le schéma est le même : les passerelles VPN d’entreprise se trouvent en bordure de réseau par conception, ce qui en fait une cible d’une valeur unique, et dont l’exploitation est uniquement dommageable.

Les appareils SSL-VPN d’entreprise traversent globalement une période difficile ; le SSL-VPN FortiOS de Fortinet a aussi connu une exploitation active d’une faille vieille de plusieurs années plus tôt cette année. Si votre organisation utilise une passerelle VPN exposée sur internet, quelle qu’elle soit, traitez les cycles de correctifs pour cette catégorie d’appareils comme une priorité plus élevée que les mises à jour logicielles générales, vu la fréquence à laquelle ils ont été ciblés en 2026.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Ce que ça change si vous utilisez un VPN grand public

Si vous utilisez un service VPN grand public comme NordVPN, ExpressVPN ou Surfshark pour la confidentialité personnelle ou le streaming, cet incident précis ne vous concerne pas directement : les appareils SMA1000 sont des passerelles d’accès distant d’entreprise, pas des applications VPN grand public, et tournent sur une infrastructure fondamentalement différente. La leçon à retenir est plus large : un logiciel VPN, quel qu’il soit, n’est fiable que si son éditeur applique une discipline de correctifs rigoureuse, et les fournisseurs avec un solide historique de divulgation rapide et transparente (le genre couvert par des audits zéro logs indépendants et des rapports de transparence) sont ceux qui méritent votre confiance pour votre trafic.

Ce que les clients SonicWall SMA1000 doivent faire maintenant

Appliquez les correctifs immédiatement si ce n’est pas déjà fait ; les deux CVE sont confirmées comme activement exploitées, pas théoriques. Renouvelez les identifiants et, surtout, les configurations de graines MFA des comptes sur les appareils concernés, puisque le vol de graine survit à une simple réinitialisation de mot de passe. Passez en revue les journaux de session depuis le 22 juin à la recherche de signes du schéma d’exploitation en tandem décrit par les chercheurs. Si votre organisation a été touchée, les avis de Rapid7 et de SonicWall incluent tous deux des indicateurs de compromission à vérifier.

SSRF et injection de code, en clair

Le server-side request forgery consiste à tromper un serveur pour qu’il effectue des requêtes réseau pour le compte de l’attaquant, depuis l’intérieur du périmètre réseau que l’appareil protège normalement, utilisant ainsi la passerelle VPN elle-même comme point de pivot une fois la faille SSRF déclenchée. L’injection de code consiste à glisser des commandes système dans un champ que l’interface de gestion de l’appareil n’était pas censée exécuter directement, transformant un accès administratif en exécution de commande complète. Aucune de ces deux catégories de faille n’est nouvelle ou exotique ; ce qui a rendu ce cas dangereux, c’est le chaînage d’une faille SSRF non authentifiée avec une faille d’injection post-authentification, la première servant à atteindre une position où la seconde devenait exploitable sans jamais avoir besoin d’identifiants valides pour commencer.

Une tendance de 2026, pas un événement isolé

Prenez du recul, et c’est le troisième ou quatrième incident majeur touchant des passerelles VPN d’entreprise cette année, chez différents éditeurs : la faille SSL-VPN SonicWall liée à la brèche bancaire de Marquis Software en juin, le SSL-VPN FortiOS de Fortinet qui a vu une exploitation renouvelée d’un contournement d’authentification vieux de plusieurs années, et maintenant cette paire de failles zero-day sur SMA1000. Aucun de ces cas ne concerne des produits grand public, mais ils partagent une cause commune qui mérite d’être nommée : les passerelles VPN exposées sur internet sont des cibles de grande valeur et très visibles, et les appareils qui les font tourner ne sont pas toujours corrigés aussi vite que les logiciels tournant sur les appareils des utilisateurs finaux, en partie parce que mettre hors ligne une passerelle d’entreprise pour une mise à jour a un vrai coût métier qu’une mise à jour de téléphone ou d’ordinateur portable n’a pas.

Pour en savoir plus sur les incidents de sécurité VPN d’entreprise de cette année, consultez notre couverture de la brèche bancaire SonicWall et notre regard plus large sur les brèches SSL-VPN d’entreprise en 2026.