SonicWall a corrigé deux nouvelles failles de sécurité affectant ses équipements d’accès distant SMA 1000. Référencées CVE-2026-83548 et CVE-2026-83549, elles sont particulièrement préoccupantes : l’éditeur confirme qu’elles ont déjà été exploitées dans des attaques réelles.
La première atteint le score maximal de 10/10 et peut être déclenchée à distance sans authentification. La seconde permet, sous certaines conditions, d’exécuter des commandes sur le système et d’aboutir à une exécution de code à distance.
Des passerelles placées à l’entrée du réseau
Les SonicWall SMA 1000 sont des passerelles permettant aux utilisateurs d’accéder à distance aux applications et ressources internes d’une organisation. Parce que ces équipements sont généralement exposés à Internet tout en donnant accès au réseau interne, leur compromission représente un risque particulièrement important.
CVE-2026-83548 : une faille critique exploitable sans compte
La vulnérabilité CVE-2026-83548 touche l’interface WorkPlace des SMA 1000. Il s’agit d’une faille de type SSRF liée à un chemin d’accès alternatif non prévu, permettant à un attaquant distant et non authentifié d’utiliser l’équipement pour atteindre des fonctionnalités sensibles et réaliser des opérations normalement interdites.
Son score CVSS de 10/10 reflète notamment le fait qu’aucun compte utilisateur n’est nécessaire pour commencer son exploitation. Cette faille constitue donc un potentiel premier point d’entrée depuis Internet.
CVE-2026-83549 : des commandes exécutées sur l’équipement
La seconde vulnérabilité, CVE-2026-83549, affecte l’Appliance Management Console. Il s’agit cette fois d’une injection de commandes système : un attaquant disposant des privilèges nécessaires peut, dans certaines conditions, exécuter des commandes arbitraires sur le système d’exploitation de l’appliance et obtenir une exécution de code à distance.
Cette deuxième faille est notée 7,8/10. Prise isolément, elle nécessite un accès authentifié avec des privilèges importants. Le scénario devient cependant beaucoup plus inquiétant lorsqu’elle est associée à une vulnérabilité permettant justement de contourner une partie des protections initiales.
Les deux failles auraient été utilisées ensemble
Plusieurs sources spécialisées rapportent que les deux vulnérabilités ont été observées dans un enchaînement d’attaque permettant d’aller jusqu’à l’exécution de code. SonicWall confirme de son côté l’exploitation active des deux failles, sans publier tous les détails techniques des intrusions observées.
Il s’agit donc de zero-days : des attaquants exploitaient déjà ces vulnérabilités avant que les correctifs ne soient publiquement disponibles.
Les SMA 6210, 7210 et 8200v concernés
Les vulnérabilités concernent les modèles SMA 1000 6210, 7210 et 8200v. Les branches 12.4.3-03453 et antérieures ainsi que 12.5.0-02835 et antérieures sont affectées.
SonicWall a publié les versions corrigées 12.4.3-03526 et 12.5.0-02952. L’éditeur demande aux administrateurs concernés de procéder à la mise à jour sans attendre.
Mettre à jour ne suffit pas si l’équipement a déjà été compromis
La situation est plus délicate pour les appliances déjà attaquées. SonicWall recommande de rechercher des indicateurs de compromission et, lorsqu’une intrusion est identifiée, de réinstaller complètement les équipements physiques ou de redéployer les appliances virtuelles.
L’éditeur recommande également dans ce cas de modifier les mots de passe des utilisateurs et administrateurs et de réinitialiser les secrets utilisés pour l’authentification TOTP. Ces précautions montrent le niveau de risque associé à une compromission réussie de ces passerelles d’accès distant.