Deux zero-days chaînés donnent un RCE non authentifié sur les appliances SonicWall SMA 1000

1er septembre 2026. SonicWall publie l’avis SNWLID-2026-0016. CVSS 10. C’est le score de la première faille, un SSRF pré-authentification qui ouvre la voie à un RCE sans le moindre identifiant. Pourquoi c’est important : ces appliances de la gamme SMA 1000 sont des passerelles SSL VPN posées en bordure de réseau, et c’est la troisième fois en quatorze mois qu’elles servent de porte d’entrée.

Les deux failles, et comment elles s’enchaînent

La première vulnérabilité, CVE-2026-83548, est une server-side request forgery (SSRF) pré-authentification dans l’interface Appliance Work Place. Un attaquant distant peut l’exploiter sans aucune authentification pour accéder à des fonctionnalités sensibles et réaliser des opérations non autorisées. Seule, elle est déjà grave : un SSRF sur un appareil qui concentre des connexions d’accès distant permet de pivoter vers des ressources internes que la passerelle, elle, a le droit d’atteindre.

La seconde, CVE-2026-83549, est une injection de commandes OS dans la console Appliance Management Console (AMC). Évaluée à CVSS 7.8, elle suppose en principe un attaquant authentifié avec des privilèges d’administration. C’est là que le chaînage fait toute la différence : le SSRF pré-auth joue le rôle de contournement d’authentification, et rend l’injection de commandes accessible à un attaquant qui n’a jamais eu à se connecter. Le résultat est une exécution de code à distance non authentifiée, obtenue par la combinaison des deux failles.

Ce schéma — une faille réseau pré-auth qui débloque une faille d’exécution post-auth — n’a rien d’anecdotique. Il suffit qu’une seule des deux conditions soit réunie pour que la chaîne se referme, et c’est exactement ce que SonicWall a observé : l’équipe PSIRT indique avoir enquêté sur un cas d’exploitation active des deux vulnérabilités. Les failles ont été découvertes en interne par William Perry et Adam Babis, mais la divulgation intervient alors que l’exploitation a déjà commencé.

Sur le plan technique, le chaînage repose sur un mécanisme bien connu des auditeurs. Le SSRF de CVE-2026-83548 permet d’adresser, depuis l’interface exposée sur Internet, un service interne de la console — typiquement une API d’administration qui n’écoute qu’en local — en utilisant l’appliance elle-même comme proxy. Une fois ce service atteint, l’injection de commandes de CVE-2026-83549 prend le relais et exécute du code avec les privilèges de la machine. C’est le schéma classique du « SSRF vers localhost » qui mène au RCE : le premier maillon contourne l’authentification, le second convertit l’accès en exécution.

Ce qui est touché, et ce qui ne l’est pas

Le périmètre est net, et il faut le lire avant de céder à la panique générale. Les modèles concernés sont les SMA 1000 physiques et virtuels : SMA6210, SMA7210 et SMA8200v. Les correctifs à chaud sont 12.4.3-03526, 12.5.0-02952 et les versions supérieures.

Ce qui n’est pas touché importe tout autant pour trier les priorités. Les appliances SMA 100, les pare-feu SonicWall et la fonction SSL-VPN embarquée sur ces pare-feu ne sont pas affectés. Une organisation qui utilise un pare-feu SonicWall avec SSL-VPN activé n’a donc rien à patcher au titre de ces deux CVE ; le risque se concentre sur les déploiements SMA 1000, c’est-à-dire les accès distants à grande échelle.

Le correctif ne suffit pas : la vraie réponse est de réimager

C’est le point qui distingue cet incident d’un simple « patchez et passez à autre chose ». SonicWall recommande d’appliquer le hotfix « dès que possible », mais ajoute une consigne inhabituelle : en cas de compromission confirmée, il faut réimager les appliances matérielles, redéployer les appliances virtuelles, changer tous les mots de passe utilisateurs et administrateurs, et réinitialiser les jetons TOTP.

La logique est implacable. Une appliance sur laquelle un attaquant a obtenu un RCE root ne peut plus être considérée comme saine par la seule pose d’un correctif : l’attaquant a pu y installer une persistance, modifier la configuration ou voler des secrets que le patch ne remplacera jamais. Réimager depuis un média propre est la seule façon de repartir d’un état dont on peut attester l’intégrité. Changer les mots de passe et réinitialiser les TOTP répond au risque connexe : les identifiants transitant par la passerelle ont pu être capturés.

Le conseil de contacter le support technique pour passer en revue les indicateurs de compromission complète le dispositif. SonicWall n’a, pour l’heure, publié ni liste d’indicateurs de compromission (IoC) ni détails sur les campagnes qui exploitent ces failles — ce qui rend la revue manuelle d’autant plus nécessaire pour qui veut savoir si son appareil a été touché avant de décider entre patch et réimagerie.

Détecter sans indicateurs publiés

L’absence d’indicateurs de compromission (IoC) publics complique la détection, mais ne l’interdit pas. Faute de signature officielle, la revue repose sur des signaux de comportement : des comptes administrateurs nouveaux ou réactivés, des modifications de configuration hors fenêtre de maintenance, des connexions sortantes inhabituelles depuis l’appliance, ou des fichiers déposés dans des répertoires temporaires.

La posture recommandée par SonicWall — contacter le support pour une revue des IoC — est le point de départ, pas la fin du travail. En parallèle, il faut traiter l’appliance comme suspecte jusqu’à preuve du contraire : c’est la seule position cohérente face à un RCE pré-auth activement exploité. Une appliance qui ne peut pas être réimagée immédiatement doit au minimum être isolée du reste du réseau le temps de la vérification.

Surveillez enfin le catalogue KEV de la CISA : l’ajout des deux CVE y imposera, aux entités fédérales américaines et par ricochet au secteur privé qui s’y aligne, un délai de remédiation contraignant. L’inscription au catalogue est le signal que l’exploitation est jugée systématique.

Une cible récurrente, pas un accident

Ces appliances ne sont pas victimes d’un coup de malchance isolé. Help Net Security rappelle que les SMA 1000 ont déjà été ciblées par des zero-days en juin et juillet 2026 — les CVE-2026-15409 et CVE-2026-15410, exploitées par le rançongiciel INC Ransomware — et fin 2025 avec la CVE-2025-40602. Le catalogue KEV de la CISA recense déjà 17 failles SonicWall activement exploitées ; les deux nouvelles n’y figurent pas encore, mais leur ajout est une question de jours.

La raison de cette insistance est structurelle. Une passerelle SSL VPN est par définition exposée sur Internet, riche en secrets, et souvent moins surveillée qu’un pare-feu de production. Elle concentre les trois ingrédients qu’un attaquant recherche : une surface d’attaque externe, des privilèges élevés une fois l’accès obtenu, et une empreinte réseau qui permet de pivoter vers l’intérieur. C’est pourquoi les éditeurs de ce segment — SonicWall, mais aussi ses concurrents directs — voient leurs appliances de bordure traitées comme des cibles prioritaires par les groupes de rançongiciels et les acteurs étatiques.

La leçon opérationnelle est simple : une appliance d’accès distant doit être traitée comme un actif de périmètre critique, avec la même rigueur de patching, la même segmentation et la même capacité de réimagerie qu’un pare-feu frontal. Une passerelle SMA 1000 laissée en bordure sans plan de reconstruction est un passif, pas un actif.

Verdict

Si vous exploitez des SMA 1000, appliquez le hotfix 12.4.3-03526 ou 12.5.0-02952 immédiatement, sans attendre la fenêtre de maintenance : la faille pré-auth est activement exploitée, et le chaînage vers un RCE supprime le besoin d’identifiants.

Si vous ne pouvez pas établir l’intégrité de l’appareil, ne patchez pas à chaud : réimagez ou redéployez, changez les mots de passe et réinitialisez les TOTP. Le patch répare la faille, pas la compromission qui a pu l’exploiter.

Si vous gérez des accès distants à grande échelle, profitez-en pour durcir l’ensemble : restreignez l’exposition des consoles de gestion, segmentez les passerelles du cœur de réseau, et gardez un processus de reconstruction documenté — c’est ce qui vous fera gagner des heures le jour où le prochain zero-day tombera.

Références

• SonicWall — Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0016)
• SecurityWeek — SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks, 2 septembre 2026
• Help Net Security — SonicWall SMA 1000 appliances under attack via zero-day flaws, 2 septembre 2026
• Sophos — SonicWall SMA1000 vulnerabilities (CVE-2026-83548, CVE-2026-83549) in the wild, 2 septembre 2026