L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté, le 6 novembre, la vulnérabilité CVE-2026-19868 affectant SonicWall SonicOS à son catalogue des vulnérabilités connues et exploitées, en invoquant des preuves d'exploitation active. La faille touche l'authentification du VPN SSL et pourrait permettre à une personne disposant d'identifiants valides pour une autre méthode d'authentification de contourner les contrôles SAML, y compris l'authentification multifacteur imposée par SAML.
L'alerte de la CISA classe le problème sous la dénomination « Use of Single-factor Authentication Vulnerability ». Les organisations qui utilisent le VPN SSL de SonicOS avec l'authentification SAML devraient donner la priorité à la correction, car cette faiblesse peut compromettre les exigences d'authentification qu'elles attendent des utilisateurs distants.
Des identifiants valides peuvent contourner les contrôles SAML
Security Affairs fait état d'un score CVSS de 7,5 et cite l'avis de SonicWall décrivant une défaillance de l'application de l'authentification dans le service SSLVPN de SonicOS. Un utilisateur disposant d'identifiants valides pour une autre méthode d'authentification pourrait être en mesure de s'authentifier sans passer par les contrôles SAML prévus.
La condition liée aux identifiants est déterminante. L'exploitation exige des identifiants valides pour une autre méthode d'authentification ; la vulnérabilité n'offre pas d'accès distant sans authentification. Lorsqu'une organisation s'appuie sur SAML pour imposer l'authentification multifacteur, une exploitation réussie pourrait aussi contourner cette protection supplémentaire et donner accès au VPN SSL.
Security Affairs cite par ailleurs l'équipe de réponse aux incidents de sécurité des produits de SonicWall, qui affirme avoir enquêté sur un signalement faisant état d'une possible exploitation. L'ajout ultérieur au catalogue par la CISA cite explicitement des preuves d'exploitation active. Le score CVSS décrit la gravité, tandis que la constatation d'exploitation de l'agence explique pourquoi ce problème doit être traité en priorité immédiate.
Obligations fédérales et recommandation de mise à jour
L'alerte de la CISA cite la Binding Operational Directive 26-04, qui fixe les exigences de gestion des vulnérabilités pour les agences civiles de l'exécutif fédéral. Elle impose une correction rapide des vulnérabilités à haut risque figurant dans le catalogue KEV, lorsqu'elles touchent des actifs exposés publiquement et qu'elles accordent un contrôle total après exploitation, tout en permettant de reporter la correction des vulnérabilités à moindre risque. La directive attend aussi que l'on vérifie si un attaquant a compromis un système avant de le corriger.
Security Affairs signale une échéance de correction fixée au 20 novembre 2026 pour les agences fédérales. Cette échéance ne s'applique qu'aux agences concernées. Par ailleurs, la CISA encourage toutes les organisations à adopter une gestion des vulnérabilités fondée sur les risques et à prioriser les vulnérabilités du catalogue KEV.
Les administrateurs qui utilisent SonicOS SSL VPN devraient suivre la recommandation de SonicWall, citée par Security Affairs, de passer à la dernière version disponible dès que possible afin d'atténuer le risque.
