INC Ransomware enchaîne deux zero-days SonicWall SMA 1000 jusqu’au root, et le correctif ne suffit pas à l’évincer

14 juillet 2026. SonicWall publie un avis de sécurité pour deux failles de ses passerelles SMA 1000 : CVE-2026-15409, une SSRF notée CVSS 10, et CVE-2026-15410, une injection de code notée 7,2. 15 juillet 2026. Rapid7 documente une exploitation active en zero-day. Août 2026. INC Ransomware a déjà publié 885 victimes sur son site de fuite, et la plupart ont appliqué le correctif après avoir été compromises.

Pour un RSSI, c’est la piqûre de rappel la plus coûteuse de l’été : sur une appliance de périphérie, le correctif ferme la porte d’entrée, mais ne chasse pas l’intrus déjà installé.

Deux failles, une chaîne jusqu’au root

La faille la plus grave, CVE-2026-15409, est une server-side request forgery dans l’interface web « Work Place » de l’appliance. Un attaquant non authentifié peut forger des requêtes qui poussent le portail à en émettre à sa place vers des services internes normalement inaccessibles. Elle ne requiert aucune authentification et décroche la note maximale de 10 sur 10 au CVSS.

CVE-2026-15410 est une injection de code dans la console d’administration (AMC). Elle est notée 7,2 car elle suppose d’atteindre déjà la console — mais une fois cette condition remplie, elle permet d’exécuter des commandes au niveau du système d’exploitation.

C’est leur combinaison qui fait le dégât. SonicWall n’a pas décrit la chaîne exacte, mais selon Rapid7, l’attaquant exploite CVE-2026-15409 pour établir une exécution de code, puis pivote vers CVE-2026-15410 pour compléter l’élévation : d’un anonyme extérieur à un accès root sur la passerelle. Les chercheurs ont publié un proof-of-concept sur GitHub pour la première faille.

Le déroulé observé par Rapid7

La télémétrie de Rapid7, publiée le 15 juillet 2026, décrit un flux d’intrusion de manuel : les appliances servent de vecteur d’accès initial, les failles permettent de contourner la validation des entrées et d’exécuter des commandes, puis les attaquants volent les identifiants, les bases de sessions actives et les graines qui génèrent les codes de connexion à usage unique. Ensuite, ils se déplacent latéralement depuis les SMA compromises vers le réseau de l’entreprise, en visant prioritairement les contrôleurs de domaine.

Deux jours plus tard, Rapid7 attribue l’activité à INC Ransomware, un groupe de type ransomware-as-a-service. Brett Deroche, directeur de la réponse à incident chez Rapid7, résume la réalité du terrain : « Nous avons empêché l’exfiltration et le chiffrement dans la majorité des cas ; mais nous avons désormais un cas actif où le déploiement du ransomware a abouti. »

Le rapport Resecurity publié début août enfonce le clou : INC Ransomware est devenu l’acteur dominant sur ces deux failles, et accélère son activité depuis le début du mois d’août. Les affiliés ont passé l’essentiel de juillet 2026 à ratisser les appliances SMA 1000 exposées sur Internet — exploitées comme zero-days pendant 22 jours avant la sortie du correctif.

Pourquoi le correctif ne suffit pas

C’est le point que trop de comptes rendus oublient. Rapid7 a observé des clients qui ont appliqué le correctif sans faire d’examen forensique complet immédiatement après. Résultat : « Nous avons observé l’attaquant maintenant sa persistance et ramenant le correctif nouvellement appliqué à un état vulnérable pour conserver l’accès. »

Autrement dit : sur une appliance déjà compromise, corriger la faille ne révoque ni les comptes créés, ni les sessions volées, ni les portes dérobées posées. L’attaquant peut simplement re-déployer le firmware vulnérable ou s’appuyer sur sa persistance existante pour rester dans la place. John Gallagher de Viakoo le formule autrement : il faut traiter les appliances de périphérie avec une mentalité d’assume-breach, et déployer les mises à jour « en minutes ou en heures, pas en semaines ou en mois ».

Le contexte éditorial n’arrange pas SonicWall. Plus tôt en 2026, un client texan, Marquis Software Solutions, a poursuivi l’éditeur pour ne pas l’avoir informé assez vite d’une campagne qui a débouché sur une attaque par ransomware contre ses propres clients. La valeur d’une SMA 1000 pour un attaquant est limpide : c’est la passerelle entre le Web et le réseau interne, commercialisée auprès d’administrations, de MSSP et de moyennes à grandes entreprises — des cibles à valeur supérieure à la moyenne.

Un précédent qui pèse, et une cible qui ne change pas

L’inscription des deux failles au catalogue KEV de CISA, dès le 14 juillet 2026, déclenche une échéance de correction contraignante pour les agences fédérales américaines — et sert de priorité de facto partout ailleurs. Le catalogue KEV n’est pas une liste de curiosités : c’est le signal « quelqu’un exploite ceci en ce moment », le plus fort dont on dispose.

Et SonicWall n’en est pas à son premier passage. La presse spécialisée note que l’éditeur subit des zero-days sur ses produits à un rythme comparable à Fortinet ou Ivanti — les trois partagent le même profil : des appliances de périphérie, exposées sur Internet, vendues à des administrations et des entreprises. Pour un attaquant, c’est la combinaison idéale : une porte d’entrée publique, des privilèges élevés, et une cible qui ne redémarre presque jamais. Quand le correctif arrive après 22 jours d’exploitation active, la réponse opérationnelle ne peut plus dépendre de la seule réactivité du vendeur.

Ce qu’il faut faire

La réponse se décline en trois temps, dans l’ordre.

Corriger d’abord. La version corrigée de SonicWall ferme les deux failles. Si votre appliance est exposée sur Internet et non corrigée, c’est une urgence absolue : CVE-2026-15409 ne demande aucune authentification.

Puis évincer. Un correctif appliqué sur une appliance compromise ne chasse rien. Il faut un examen forensique complet — comptes locaux, sessions, graines de TOTP, firmware, accès sortants — et une réinitialisation des secrets volés. La règle de Rapid7 est sans ambiguïté : sans examen forensique, considérez que l’attaquant est encore là.

Enfin restreindre. Les appliances SMA 1000 n’ont aucune raison d’être joignables depuis l’Internet entier. Placez-les derrière une restriction d’adresses sources ou une VPN d’administration, et segmentez leur accès au réseau interne pour limiter la portée d’un pivot vers les contrôleurs de domaine.

Verdict

Si vous exploitez une SonicWall SMA 1000, deux réalités s’imposent. La première : la faille CVE-2026-15409 est un CVSS 10 sans authentification, exploité activement et rattaché à un groupe ransomware — elle se corrige aujourd’hui, pas à la prochaine fenêtre de maintenance. La seconde : sur une appliance de périphérie, le correctif est un prérequis, jamais une conclusion. Sans examen forensique et réinitialisation des secrets, vous avez fermé la porte que l’attaquant a déjà franchie.

Si vous n’utilisez pas SonicWall, le signal de fond vaut pour toutes les passerelles d’accès distant : le temps entre la publication d’un avis et l’exploitation en masse s’est effondré, et la valeur d’une appliance de périphérie compromet l’ensemble du réseau interne. La posture gagnante tient en deux gestes — corriger vite, puis prouver que l’intrus est parti.

Références

• Dark Reading — INC Ransomware Exploits SonicWall SMA Zero-Days, Nate Nelson, 17 juillet 2026
• Rapid7 — SonicWall SMA1000 Zero-Days Actively Exploited (CVE-2026-15409, CVE-2026-15410), 15 juillet 2026
• SonicWall PSIRT — SNWLID-2026-0008, 14 juillet 2026
• The Hacker News — INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws, 3 août 2026
• CISA — Known Exploited Vulnerabilities Catalog, consulté le 20 août 2026