Les SonicWall SMA1000 sous attaque : deux zero-day permettent des SSRF et l’exécution de commandes système

Exploitation déjà observée sur les appliances d’accès distant

Deux vulnérabilités zero-day touchent la famille SonicWall SMA1000, utilisée comme passerelle d’accès distant sécurisé et comme appliance SSL-VPN. SonicWall affirme avoir identifié en interne les deux failles ainsi que leur exploitation dans des attaques réelles.

Les vulnérabilités signalées sont CVE-2026-83548, une faille SSRF exploitable avant authentification, et CVE-2026-83549, une injection de commandes au niveau du système d’exploitation. La présence simultanée des deux failles dans les environnements compromis laisse penser qu’elles pourraient avoir été exploitées en chaîne, mais cette hypothèse n’a pas été confirmée.

Aucun détail n’a été communiqué sur les organisations ciblées, l’identité des attaquants ou les procédures opérationnelles utilisées lors des intrusions. Les indicateurs de compromission, tels que les adresses IP, domaines, hachages ou chemins spécifiques laissés par les attaquants, n’ont pas non plus été publiés.

Pour les administrateurs, il ne s’agit donc pas d’évaluer une menace théorique. L’exploitation a déjà été observée et nécessite à la fois l’installation des correctifs et des contrôles rétrospectifs sur les appliances exposées.

De la SSRF pré-authentification à l’exécution de commandes

CVE-2026-83548 affecte l’interface Appliance Work Place. Il s’agit d’une Server-Side Request Forgery, ou SSRF, exploitable à distance sans identifiants et associée à un score CVSS de 10.

La vulnérabilité provient d’un chemin d’accès alternatif non prévu. Un attaquant peut amener l’appliance à envoyer des requêtes vers des destinations ou des fonctionnalités normalement inaccessibles depuis l’extérieur. Ce comportement peut donner un accès non autorisé à des composants sensibles et permettre des opérations interdites.

Une SSRF sur une passerelle d’accès distant est particulièrement critique, car l’appliance se trouve souvent entre Internet et des ressources internes. Les détails nécessaires pour déterminer quels services peuvent être atteints par l’intermédiaire de cette faille n’ont toutefois pas été publiés.

CVE-2026-83549 se trouve quant à elle dans l’Appliance Management Console (AMC). Elle nécessite un compte authentifié, mais permet d’injecter des commandes arbitraires destinées au système d’exploitation, avec une exécution de code potentielle. Le score indiqué est de 7,8 selon le CVSS, avec le vecteur CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Dans un scénario d’exploitation en chaîne, la SSRF pourrait théoriquement servir à atteindre une fonction protégée, tandis que l’injection permettrait d’exécuter des commandes sur le système. On ignore toutefois si les attaques observées ont suivi cette séquence et comment les attaquants ont satisfait à l’exigence d’authentification de la seconde faille.

Modèles vulnérables et correctifs à installer

Les vulnérabilités concernent trois appliances de la famille SMA1000 :

• SMA 6210 ;
• SMA 7210 ;
• SMA 8200v.

Les correctifs sont disponibles dans les hotfix suivants :

• 12.4.3-03526 ;
• 12.5.0-02952 ;
• toutes les versions ultérieures intégrant les mêmes correctifs.

Les builds antérieures exactes concernées n’ont pas été précisées. En l’absence de cette information, les organisations doivent vérifier directement que chaque appliance utilise au moins l’un des hotfix indiqués, sans se limiter à contrôler la branche principale de la version.

L’alerte ne doit pas être étendue automatiquement à l’ensemble du portefeuille SonicWall. Le service SSL-VPN intégré aux pare-feu SonicWall et les appliances de la série SMA100 ne sont pas concernés par ces deux zero-day.

Aucune mesure de contournement ne remplace l’application du correctif. Les appliances directement exposées à Internet doivent être traitées en priorité, mais les installations accessibles via des réseaux intermédiaires ou des interfaces d’administration dédiées doivent également être vérifiées.

Deux paires de CVE décrivent des problèmes similaires, mais leur relation reste incertaine

L’attribution des identifiants présente une divergence importante. Les vulnérabilités récemment signalées sont référencées comme CVE-2026-83548 et CVE-2026-83549. Le catalogue Known Exploited Vulnerabilities de la CISA mentionne toutefois deux problèmes SMA1000 aux descriptions techniques correspondantes, enregistrés sous les identifiants suivants :

• CVE-2026-15409, SSRF distante sans authentification, classée CWE-918 ;
• CVE-2026-15410, injection de code permettant à un administrateur authentifié d’exécuter des commandes arbitraires, classée CWE-94.

La relation entre ces deux paires n’a pas été expliquée publiquement. Il n’est donc pas correct de considérer automatiquement CVE-2026-83548 comme équivalente à CVE-2026-15409, ni d’associer sans réserve CVE-2026-83549 à CVE-2026-15410.

Les données techniques présentent également des différences. CVE-2026-15409 affiche un score CVSS de 10 et le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. CVE-2026-15410 affiche quant à elle un score CVSS de 7,2 et le vecteur CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, décrivant ainsi une attaque distante nécessitant des privilèges élevés.

Pour CVE-2026-83548 et CVE-2026-83549, les fiches NVD disponibles ne fournissent pas encore de vecteurs complets, de classifications CWE ni de versions de produits concernées. Les scores CVSS de 10 pour la première et de 7,8 pour la seconde ne proviennent donc pas de fiches NVD complètes.

Cette incohérence impose la prudence dans les systèmes de gestion des vulnérabilités : rechercher uniquement l’une des deux paires d’identifiants pourrait produire des inventaires ou des alertes incomplets.

Le catalogue KEV impose l’application des correctifs et une analyse forensique

Les entrées CVE-2026-15409 et CVE-2026-15410 figurent dans le catalogue CISA KEV depuis le 14 juillet 2026, avec une échéance de remédiation fixée au 17 juillet 2026 pour les agences fédérales américaines.

Toutes deux ont été exploitées dans des campagnes de ransomware. La CISA demande également de réaliser le forensic triage prévu par la directive BOD-26-04, en plus d’appliquer les mesures d’atténuation fournies par l’éditeur. Si aucun correctif n’était disponible, il est recommandé d’envisager le retrait du produit conformément aux dispositions applicables.

À l’inverse, CVE-2026-83548 et CVE-2026-83549 ne figurent pas dans le KEV sous ces identifiants. Cette différence ne réduit pas l’urgence : des descriptions techniques très proches sont déjà associées par la CISA à une exploitation connue et à des ransomwares.

Les administrateurs doivent donc :

1. installer immédiatement 12.4.3-03526, 12.5.0-02952 ou une version ultérieure ;
2. recenser les SMA 6210, 7210 et 8200v accessibles depuis Internet ;
3. rechercher les requêtes anormales vers Appliance Work Place, les comportements SSRF potentiels et les opérations non autorisées ;
4. examiner l’AMC à la recherche de commandes inattendues ou d’activités d’administration non reconnues ;
5. soumettre les appliances potentiellement exposées à un triage forensique, sans supposer que l’application du correctif efface les conséquences d’une compromission antérieure ;
6. rechercher les deux groupes d’identifiants CVE dans leurs outils.

En l’absence d’indicateurs publics, la vérification devra s’appuyer sur les journaux conservés par l’organisation, les modifications de configuration, les accès administratifs et les comportements réseau anormaux.

Un nouvel épisode dans la série de failles SonicWall exploitées

Le catalogue de la CISA contient 17 résultats lorsque le filtre SonicWall est appliqué. Parmi les précédents figure CVE-2025-40602, une vulnérabilité SMA1000 liée à un défaut d’autorisation susceptible de permettre une élévation de privilèges dans l’AMC. Elle figure dans le KEV depuis le 17 décembre 2025, avec une échéance fixée au 24 décembre 2025.

La série SMA100 a également été touchée par les injections de commandes CVE-2023-44221 et CVE-2021-20035, ajoutées au KEV respectivement le 1er mai 2025 et le 16 avril 2025. Pour SonicOS, le contournement de l’authentification SSL-VPN CVE-2024-53704 a été exploité dans des campagnes de ransomware et figure au catalogue depuis le 18 février 2025.

Le constat opérationnel reste clair : corriger l’appliance ne suffit pas si l’exploitation a déjà pu avoir lieu. Pour les SMA1000 concernés, il faut appliquer les correctifs, vérifier l’exposition et mener une analyse forensique coordonnée.