Une faille exploitée des VPN SonicWall permettrait d'entrer avec un simple mot de passe volé

Dans beaucoup d'entreprises, la double authentification est le dernier rempart quand un mot de passe a été volé. Le 6 novembre, SonicWall a publié un correctif pour une faille qui pourrait faire tomber ce rempart sur le VPN de ses pare-feu. Le même jour, la CISA, l'agence américaine de cybersécurité, l'a inscrite dans son catalogue des vulnérabilités activement exploitées.

Référencée CVE-2026-19868 et décrite dans l'avis SNWLID-2026-0014, la faille touche le VPN SSL de SonicOS, le système d'exploitation des pare-feu SonicWall. Elle ne concerne que les appareils dont les connexions VPN passent par SAML, un protocole qui confie l'authentification au fournisseur d'identité de l'entreprise, souvent pour imposer un second facteur. Selon SonicWall, un attaquant disposant d'identifiants valides pour une autre méthode de connexion pourrait contourner les contrôles SAML, et potentiellement la double authentification qu'ils imposent. Il lui faut donc déjà un mot de passe valide, souligne la société de sécurité Ostorlab.

Les versions à installer, faute de solution de rechange

• SonicOS 7 (pare-feu Gen7, boîtiers physiques et machines virtuelles NSv) : versions 7.3.3-7015 et antérieures touchées, corrigées en 7.3.4-7013.
• SonicOS 8 (pare-feu Gen8, boîtiers physiques et machines virtuelles NSv) : versions 8.2.2-8015 et antérieures touchées, corrigées en 8.2.3-8015.

SonicWall précise qu'aucun contournement n'existe et presse ses clients de mettre à jour « dès que possible ». L'éditeur note la gravité de la faille à 7,1 sur 10. La CISA, qui considère qu'aucun privilège préalable n'est nécessaire, l'évalue à 7,5. Les administrations fédérales civiles américaines ont jusqu'au 20 novembre pour corriger.

Le même avis corrige six autres failles de SonicOS. Deux, notées 8,8, visent l'interface d'administration et pourraient, dans certaines conditions, permettre à un attaquant non authentifié des opérations non autorisées. D'autres sont des débordements de mémoire tampon, exploitables avant toute authentification dans le VPN SSL et dans TACACS+, un service de contrôle des accès d'administration. Ils pourraient rendre le service visé indisponible. La dernière concerne un hachage trop faible des mots de passe sur les machines virtuelles.

Qui exploite la faille, et contre qui ?

Pour l'instant, on l'ignore. SonicWall indique seulement avoir enquêté sur un signalement d'exploitation possible, sans publier de détails ni d'indicateurs de compromission. La découverte est créditée à Ryan Harris, de la société The Electronic Office. Le scénario n'a rien d'exotique : Ostorlab décrit un contournement de la double authentification pour un mot de passe volé, réutilisé ou obtenu d'une autre manière.

Les équipements SonicWall sont souvent visés : en octobre, des tentatives d'exploitation visaient déjà une faille critique des passerelles d'accès SMA1000.

Que faire ?

La mise à jour est la seule vraie parade. Les vérifications suivantes, proposées notamment par Ostorlab, aident à savoir si l'on a été visé :

• vérifier la version installée (commande show version ou menu System > Status) ;
• contrôler si SAML est activé pour les connexions au VPN SSL. Si ce n'est pas le cas, cette faille ne s'applique pas, mais les six autres restent à corriger ;
• lister les comptes et les méthodes de connexion autres que SAML acceptées par le VPN, et supprimer celles qui ne servent plus. Cela réduit l'exposition, sans remplacer la mise à jour ;
• chercher dans les journaux du VPN les connexions réussies de comptes censés passer par SAML, mais enregistrées avec une autre méthode, puis examiner leur provenance et les ressources consultées ;
• en cas de doute, réinitialiser les mots de passe concernés et examiner les ressources auxquelles ces comptes avaient accès.

Reste à savoir si SonicWall publiera des détails sur les attaques observées. En attendant, les équipes de sécurité ne peuvent chercher que des anomalies, faute de traces connues.