Deux failles zero-day de SonicWall SMA 1000 enchaînées pour une exécution de code à distance sans authentification

SonicWall a révélé deux vulnérabilités zero-day dans ses appareils de la série SMA 1000, que des attaquants enchaînent activement pour parvenir à une exécution de code à distance sans authentification (RCE) — c'est-à-dire qu'un pirate peut prendre le contrôle total de l'appareil sans jamais se connecter. La faille la plus grave, CVE-2026-83548, est une vulnérabilité de falsification de requête côté serveur (SSRF) pré-authentification dans l'interface Work Place de l'appareil, et affiche le score CVSS maximal possible de 10,0. La seconde, CVE-2026-83549, est une vulnérabilité d'injection de commandes du système d'exploitation post-authentification dans la console de gestion de l'appareil (AMC), notée 7,8.

Prise isolément, chaque faille est grave mais contenue. Ensemble, elles constituent une chaîne de compromission complète : l'attaquant utilise la faille SSRF non authentifiée pour atteindre en interne la console de gestion, puis exploite la faille d'injection de commandes pour exécuter des commandes système arbitraires — le tout sans identifiant valide. SonicWall a déclaré avoir « enquêté sur un cas indiquant l'exploitation active de ces vulnérabilités », confirmant que des attaquants utilisent déjà cette chaîne dans la réalité, et non un simple risque théorique signalé par des chercheurs.

Les vulnérabilités touchent les modèles 6210, 7210 et 8200v de la série SMA 1000 fonctionnant sous les versions platform-hotfix 12.4.3-03453 ou 12.5.0-02835 et antérieures. SonicWall a publié des versions corrigées — 12.4.3-03526 et 12.5.0-02952 — et presse ses clients de mettre à jour immédiatement plutôt que d'attendre une fenêtre de maintenance planifiée. Les failles ont été découvertes en interne par les chercheurs de SonicWall William Perry et Adam Babis.

Les appareils SMA se trouvent généralement en périphérie du réseau et gèrent typiquement l'accès distant sécurisé et les connexions VPN des employés d'une organisation. Cela en fait une cible de grande valeur : un appareil SMA compromis peut offrir à un attaquant un point d'ancrage profond au sein du réseau de l'entreprise, contournant les couches de sécurité internes qui séparent normalement un attaquant externe des systèmes sensibles. Ce n'est pas non plus le premier incident SMA de l'année pour SonicWall : cette divulgation intervient environ un mois après que l'entreprise a corrigé une autre paire de failles SMA, CVE-2026-15409 et CVE-2026-15410, que l'acteur malveillant identifié comme UTA0533 avait exploitées pour déployer un logiciel malveillant sur mesure appelé KNUCKLEBALL.

Au-delà du correctif, SonicWall recommande aux administrateurs de rechercher activement des signes de compromission antérieure plutôt que de présumer que tout va bien une fois la mise à jour appliquée. Les consignes de l'entreprise pour les organisations qui découvrent des indices de compromission sont inhabituellement fermes : réimager ou redéployer entièrement l'appareil concerné, réinitialiser tous les mots de passe des utilisateurs et administrateurs qui y sont liés, et réinitialiser toutes les graines de mots de passe à usage unique basés sur le temps (TOTP). Ce niveau de remédiation illustre à quel point un appareil périphérique compromis peut discrètement accumuler de la confiance avant que quiconque ne s'en aperçoive — jetons de session, identifiants mis en cache et graines TOTP sont autant d'éléments qu'une simple réimage ne suffira pas nécessairement à effacer si l'attaquant a eu accès à la console.

Les organisations exploitant l'un des modèles SMA 1000 concernés doivent traiter ce correctif comme une urgence, et non comme une mise à jour de routine : appliquer immédiatement le hotfix et examiner les journaux à la recherche du schéma d'exploitation décrit par SonicWall, même si l'appareil semble fonctionner normalement.

Selon les informations rapportées en premier par The Hacker News.