La faille SSRF critique de SonicWall SMA 1000 est déjà exploitée 135 fois après le correctif

6 octobre 2026. SonicWall publie des hotfixes pour une faille de sa gamme SMA 1000. 8 octobre 2026. Les firmes Defused Cyber et Previdian détectent les premières tentatives d’exploitation. 12 octobre 2026. Previdian décompte 135 tentatives depuis deux adresses IP situées aux États-Unis. Pourquoi c’est important : une appliance de VPN exposée sur Internet est une porte d’entrée idéale, et celle-ci est déjà attaquée.

Une SSRF pré-authentification notée 10.0

La vulnérabilité, référencée CVE-2026-102255, porte un score CVSS de 10.0, le maximum de l’échelle. C’est une falsification de requête côté serveur (SSRF) pré-authentification : un attaquant distant peut « amener l’appliance à émettre des requêtes en son nom, atteindre des fonctionnalités internes et réaliser des opérations non autorisées ». Autrement dit, pas besoin de s’authentifier, et pas besoin d’un exploit sophistiqué : il suffit de convaincre la machine d’interroger sa propre surface interne.

La SSRF est une classe de faille redoutable sur les équipements de bordure. Là où une injection SQL frappe une application, une SSRF frappe l’infrastructure elle-même : le dispositif devient un relais, une façon de rebondir vers des services qui ne sont normalement jamais exposés. Sur un VPN ou une passerelle d’accès distant, l’impact se mesure moins en perte de données qu’en pivot complet vers le réseau interne.

SonicWall a livré les correctifs le 6 octobre 2026, sous forme de deux hotfixes de plateforme : 12.4.3-03670 et 12.5.0-03082. Ils corrigent la faille avant même que l’exploitation publique ne démarre. Le problème n’est donc pas un éditeur silencieux, mais la vitesse de déploiement des correctifs sur des appliances qui, par nature, sont rarement mises à jour en urgence.

Deux jours seulement entre le correctif et l’exploitation

Le délai est le fait saillant de l’affaire. Correctif le 6 octobre, premières tentatives le 8 octobre : deux jours. Les équipes de Defused Cyber et de Previdian ont repéré l’activité presque immédiatement, et Previdian publie un décompte précis : 135 tentatives observées à ce jour, issues de deux adresses IP uniques localisées aux États-Unis. Un volume modeste, mais un signal sans ambiguïté : le code d’exploitation circule, et des acteurs le testent.

Ce rythme de deux jours n’a rien d’une anomalie en 2026. Le cycle « publication du correctif, rétro-ingénierie, exploitation » s’est comprimé au point qu’une appliance non patchée en fin de semaine est déjà une cible en début de semaine suivante. Pour un RSSI, la conséquence est mécanique : la fenêtre entre le correctif et l’attaque est désormais plus courte que la plupart des cycles de maintenance planifiée.

SonicWall n’a, à la date de l’article, pas encore mis à jour son avis pour refléter l’exploitation active. C’est un détail qui compte : les tableaux de bord qui se contentent de suivre les avis éditeurs, sans croiser les renseignements externes, risquent de classer la faille comme « corrigée et sans exploitation » alors qu’elle est activement visée.

Une famille d’appliances déjà prise pour cible en juin

La SMA 1000 n’en est pas à sa première alerte. En juin 2026, deux autres failles du même produit — CVE-2026-15409 (CVSS 10.0) et CVE-2026-15410 (CVSS 7.2) — ont été exploitées comme zero-days par un acteur nommé UTA0533, qui a déployé des webshells Java et un implant baptisé KNUCKLEBALL. La campagne de juin a été largement documentée, et elle éclaire la campagne actuelle d’un jour particulier : les attaquants traitent ces appliances comme une classe de cible récurrente, pas comme un incident isolé.

Rapid7 a détaillé le mode opératoire de juin, et il est parlant. Une fois la brèche obtenue sur un équipement exposé, les acteurs extraient méthodiquement les ressources de grande valeur : les identifiants, les bases de sessions actives et les configurations de graines TOTP de l’authentification multifacteur (MFA). Autrement dit, ils ne se contentent pas d’entrer : ils récoltent de quoi se reconnecter plus tard, même après rotation des mots de passe, puisque les graines TOTP permettent de recalculer les codes à usage unique.

Avec ces ressources en main, la suite est une progression latérale classique : « pivotant de l’appliance compromise directement vers le réseau interne de l’entreprise ». La SMA 1000 étant une passerelle d’accès distant, elle concentre exactement ce qu’un attaquant veut : la frontière, les sessions et les secrets d’authentification.

Ce que l’appliance expose, au-delà de la faille

Le cas illustre une vérité plus large : un VPN ou une passerelle d’accès distant est un actif à risque élevé parce qu’il cumule trois propriétés défavorables. Il est exposé sur Internet par définition. Il est riche en secrets : mots de passe, sessions, graines MFA. Et il est souvent délaissé : installé une fois, il ne reçoit de correctif qu’à contrecœur, parce qu’une maintenance signifie une coupure d’accès pour les utilisateurs.

La faille CVE-2026-102255 ajoute une couche au problème : une SSRF sur un équipement de ce type ne se lit pas comme une simple élévation de privilèges locale. Elle transforme l’appliance en pivot réseau dès la phase initiale, avant même que l’attaquant n’ait besoin de voler un seul identifiant. C’est précisément ce qui distingue cette alerte d’une vulnérabilité applicative ordinaire.

Pour les équipes qui opèrent ces appliances, la leçon de juin doit guider la réaction d’aujourd’hui : ne pas se limiter à patcher, mais rechercher les traces d’une compromission déjà en cours. Un correctif ne chasse pas un webshell déjà implanté, et ne fait pas tourner les graines TOTP déjà volées.

Patch, puis traque des traces

Patcher ne suffit pas, parce qu’une fenêtre de deux jours signifie qu’une appliance non patchée a pu être compromise avant l’application du correctif. La séquence recommandée commence par confirmer la version réellement exécutée : le hotfix 12.4.3-03670 ou 12.5.0-03082 doit apparaître dans la console d’administration, pas seulement dans la liste des téléchargements. Un équipement qui affiche encore une version antérieure n’est pas protégé, quel que soit l’état de la file de mise à jour.

Vient ensuite la traque des traces. Les campagnes de juin ont montré que les attaquants déposent des webshells et exfiltrent les graines TOTP ; une appliance récemment ciblée mérite une inspection. On cherche les fichiers modifiés après le 6 octobre, les processus inhabituels et les comptes créés hors procédure. La rotation des graines TOTP n’est pas optionnelle : c’est la seule façon d’invalider les codes à usage unique que les attaquants ont pu copier, et c’est une mesure que le correctif ne fait pas à votre place.

Enfin, la télémétrie compte. Le décompte de Previdian — 135 tentatives depuis deux IP américaines — décrit un balayage initial, pas une campagne massive. C’est le profil classique d’acteurs qui testent un exploit fraîchement publié sur un parc d’appliances exposées. Il faut le lire comme un signal précoce : le volume est encore faible parce que l’exploitation vient de commencer, pas parce qu’elle est contenue.

Verdict

Si vous exposez une SMA 1000 sur Internet, appliquez immédiatement le hotfix 12.4.3-03670 ou 12.5.0-03082 selon votre branche — sans attendre une fenêtre de maintenance : deux jours suffisent aux attaquants, votre fenêtre doit être plus courte. Dans la foulée, traitez l’appliance comme potentiellement compromise : inspectez les fichiers à la recherche de webshells, révoquez et régénérez les graines TOTP, et forcez la ré-authentification des sessions actives. Si vous gérez un parc, croisez l’avis SonicWall avec les renseignements externes (Previdian, Rapid7) avant de classer la faille : l’absence de mise à jour de l’avis éditeur ne signifie pas l’absence d’exploitation.

Références

• The Hacker News — Critical SonicWall SMA 1000 Flaw Targeted in 135 Exploitation Attempts After Patch (12 octobre 2026)
• SonicWall — Avis de sécurité SMA 1000 (CVE-2026-102255)
• Rapid7 — Analyse de l’exploitation des appliances SonicWall (juin 2026)
• Previdian — Télémétrie d’exploitation CVE-2026-102255