SonicWall a publié le 14 juillet un bulletin pour deux vulnérabilités de ses passerelles d’accès distant SMA 1000, déjà exploitées par des attaquants. La plus grave, CVE-2026-15409, est notée 10/10. Le CERT-FR a émis une alerte le 15 juillet.
Les deux failles
| CVE | Type | CVSS | Prérequis |
|---|---|---|---|
| CVE-2026-15409 | Falsification de requêtes côté serveur (SSRF) | 10.0 | Aucune authentification |
| CVE-2026-15410 | Exécution de code à distance | 7.2 | Compte administrateur |
SonicWall indique que les deux vulnérabilités sont « confirmées comme activement exploitées » et qu’elles n’ont pas de lien avec d’autres failles de ses produits. Le constructeur ne donne pas de détails techniques. Le CERT-FR ne dit pas non plus si les deux failles peuvent être enchaînées pour prendre le contrôle complet d’un équipement. Mais la combinaison d’une SSRF exploitable sans compte et d’une exécution de code réservée aux administrateurs est un scénario que les attaquants recherchent.
Versions concernées et correctifs
Sont touchés les modèles SMA 6210, 7210 et 8200v ainsi que la console CMS, quel que soit l’hyperviseur :
| Branche | Versions vulnérables | Version corrigée |
|---|---|---|
| 12.4.3 | 12.4.3-03245, 03387, 03434 | 12.4.3-03453 et ultérieures |
| 12.5.0 | 12.5.0-02283, 02624, 02800 | 12.5.0-02835 et ultérieures |
Les correctifs sont disponibles sur le portail MySonicWall. Le bulletin ne mentionne pas la gamme SMA 100, ni aucune mesure de contournement : la mise à jour est la seule protection.
Mettre à jour ne suffit pas si l’équipement a déjà été compromis. SonicWall demande une analyse des indicateurs de compromission avant de considérer l’incident clos.
Chercher des traces de compromission
Le bulletin liste quatre indicateurs :
- dans
extraweb_access.log: des requêtes vers/__api__/loginou/__api__/logoutavec un code HTTP 200 ; - dans
extraweb_access.log: des requêtes vers/wsproxyavec des paramètres d’hôte suspects et un code HTTP 101 ; - dans
ctrl-service.log: des entrées « hotfix removal » contenant un nom de fichier avec traversée de répertoire ; - dans
/var/lib/unit/conf.json: des routes pour/__api__/loginet/__api__/logout.
Sur une copie des journaux exportés de l’appliance, une première recherche peut se faire avec grep :
# Accès aux routes ajoutées par les attaquants (à vérifier ensuite : code 200)
grep -E '/__api__/(login|logout)' extraweb_access.log
# Mention de suppression de hotfix
grep -i 'hotfix removal' ctrl-service.logUn résultat n’est pas une preuve en soi, mais il impose une analyse approfondie ; SonicWall propose d’ouvrir un ticket de support pour l’aider.
Si vous trouvez un indicateur
- Réinstallez l’appliance physique (6210, 7210) ou redéployez l’appliance virtuelle.
- Changez les mots de passe de tous les utilisateurs et administrateurs.
- Réinitialisez les secrets TOTP de la double authentification.
- Ne restaurez une sauvegarde de configuration que si elle est antérieure au correctif de décembre (12.4.3-03245 ou 12.5.0-02283) ; sinon, auditez la configuration à la main.
Les passerelles VPN et d’accès distant restent l’une des cibles favorites des groupes de rançongiciels et d’espionnage : exposées sur Internet par nature, elles donnent ensuite accès au réseau interne. Une SSRF notée 10 sur ce type d’équipement justifie un correctif sans attendre la fenêtre de maintenance habituelle.