SonicWall corrige une faille SSLVPN qui laisse un mot de passe volé contourner le SAML et son MFA

6 novembre 2026. SonicWall publie l’avis SNWLID-2026-0014 et corrige CVE-2026-19868, une faille d’application de l’authentification dans le service SSLVPN de SonicOS. Même jour. La CISA ajoute la CVE au catalogue KEV des vulnérabilités exploitées, avec une échéance fédérale au 20 novembre 2026. 7,1. Le score CVSS v3.1 attribué par l’éditeur — inférieur aux deux failles à 8,8 du même avis. Pourquoi c’est important : la faille réellement exploitée n’est pas la mieux notée du lot, et c’est précisément le catalogue KEV, pas le score, qui dicte l’urgence.

Ce qui est cassé : l’application du SAML, pas le chiffrement

CVE-2026-19868 est classée CWE-308, Use of Single-Factor Authentication. Le défaut ne touche ni le chiffrement du tunnel, ni un débordement mémoire. Il touche une décision de confiance : le portail SSLVPN n’applique pas la politique SAML à un compte capable de s’authentifier par une autre méthode.

Concrètement, un administrateur active SAML sur les connexions SSLVPN pour imposer un fournisseur d’identité et, souvent, le MFA qu’il porte. SonicOS accepte pourtant plusieurs méthodes d’authentification en parallèle. La faille tient à ce qu’un utilisateur qui présente des identifiants valides pour une méthode alternative — locale, par exemple — obtient une session VPN sans passer par l’assertion SAML, donc sans le MFA que SAML impose.

L’impact est une contournement du MFA, pas une intrusion non authentifiée. L’attaquant doit déjà détenir un mot de passe valide : volé, réutilisé ou deviné. Ce mot de passe devient alors suffisant à lui seul, alors que l’administrateur croyait avoir verrouillé l’accès derrière une seconde étape.

SonicWall fixe deux scores. L’éditeur retient CVSS 7,1 (AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N) ; l’ADP CISA du dossier CVE porte 7,5 (PR:N). La différence porte sur les privilèges requis : l’éditeur suppose un compte valide, la CISA non. Les deux s’accordent sur un impact de confidentialité élevé, une intégrité faible, aucune disponibilité — le profil d’un accès VPN de lecture, pas d’une exécution de code.

Sept correctifs, une seule entrée KEV

L’avis SNWLID-2026-0014 corrige en réalité sept vulnérabilités dans les mêmes builds. Deux d’entre elles, sur l’interface de gestion, sont notées 8,8 : CVE-2026-107155 (politique cross-domain permissive) et CVE-2026-107154 (validation de session reposant sur l’adresse IP). Une autre, CVE-2026-82308, est un débordement de tas pré-authentification dans le service SSL-VPN, noté 7,5. Viennent ensuite deux débordements dans le client TACACS+ — CVE-2026-77708 et CVE-2026-77709, notés 5,9 — et une faiblesse de hachage de mots de passe sur les appliances virtuelles, CVE-2026-19703, notée 5,2.

Or la seule des sept que la CISA a inscrite au KEV est CVE-2026-19868, la moins bien notée des failles d’exposition réseau. C’est l’enseignement à retenir : une entrée KEV signale une exploitation réelle, ce qu’aucun score CVSS ne garantit. Un RSSI qui trie ses correctifs par score descendant risque ici de corriger les 8,8 de l’interface de gestion avant le 7,1 du SSLVPN — l’ordre exactement inverse de la priorité opérationnelle.

SonicWall indique avoir enquêté sur « un signalement indiquant une exploitation potentielle ». Ryan Harris de The Electronic Office est crédité pour le signalement. Aucune victime, aucun acteur, aucune date d’attaque ne sont publiés.

Qui est exposé, et qui ne l’est pas

La faille ne s’applique pas partout. SonicWall est explicite : CVE-2026-19868 n’affecte le SSLVPN que si le SAML est activé pour les connexions VPN. Quatre conditions doivent être réunies :

• le pare-feu tourne une version affectée de SonicOS ;
• le service SSLVPN est actif et joignable depuis le réseau de l’attaquant ;
• le SAML est activé pour les connexions SSLVPN ;
• au moins un compte peut s’authentifier par une méthode alternative, et l’attaquant en détient les identifiants.

Les versions affectées couvrent les deux lignes de matériel. Gen7 (TZ 270 à 670, NSa 2700 à 6700, NSsp 10700 à 15700, NSv 270/470/870) est vulnérable en 7.3.3-7015 et antérieur, corrigé en 7.3.4-7013. Gen8 (TZ 80 à 680, NSa 2800 à 5800, NSv XS/S/M/L) est vulnérable en 8.2.2-8015 et antérieur, corrigé en 8.2.3-8015.

SonicWall ne fournit aucun contournement. Avant la mise à jour, la seule atténuation est de réduire la surface : supprimer ou désactiver les comptes SSLVPN capables d’une authentification non-SAML, et restreindre l’accès SSLVPN à des plages d’adresses maîtrisées.

# Vérifier la version du firmware (CLI SonicOS)
show version

# La version doit être comparée au build corrigé de SA ligne :
#   Gen7 -> 7.3.4-7013 ou supérieur
#   Gen8 -> 8.2.3-8015 ou supérieur

Ce qu’un contournement de MFA coûte réellement

Le danger n’est pas théorique. Un contournement du MFA transforme un mot de passe faible ou volé en session VPN complète, avec les droits du compte compromis et l’accès aux ressources internes qu’il ouvre. Le SAML et le MFA existaient précisément pour empêcher qu’un seul facteur suffise ; la faille rétablit l’authentification à facteur unique que l’administrateur pensait avoir éliminée.

La leçon dépasse SonicWall. C’est une illustration d’un principe de conception : quand plusieurs méthodes d’authentification coexistent, la politique la plus stricte doit s’appliquer à toutes, sans exception. Une porte de secours locale laissée ouverte à côté d’un SSO SAML revient à fermer le portail à clé tout en laissant une fenêtre au rez-de-chaussée.

Pour la détection, l’avis ne fournit aucune séquence de requête exploitable publiquement. En revanche, un journal de connexion SSLVPN montrant une authentification réussie par une méthode non-SAML, pour un compte censé passer par SAML, est une piste — pas une preuve de compromission, mais une anomalie à creuser.

Le contexte : les équipements de bordure restent la cible privilégiée

CVE-2026-19868 s’inscrit dans un schéma que l’année 2026 n’a pas démenti : les équipements de bordure — pare-feu, VPN, appliances d’accès — concentrent les entrées du catalogue KEV. La raison est simple : ils sont exposés sur Internet, ils donnent accès au réseau interne, et ils vieillissent souvent sans correctif. Un défaut qui contourne l’authentification y vaut plus qu’un défaut équivalent sur un poste interne.

SonicWall n’en est pas à son premier épisode. Ce blog a couvert ces derniers mois plusieurs failles sur la gamme SMA1000 — des zero-days exploités, des SSRF et des exécutions de code à distance. La nouveauté de CVE-2026-19868 n’est pas la gravité, c’est la nature : un contournement du MFA par décision d’authentification, pas par corruption mémoire. Ce type de défaut est plus facile à exploiter que les débordements, car il ne demande qu’un mot de passe valide — la ressource la plus abondante du marché de la compromission.

C’est aussi pourquoi la CISA fixe une échéance aussi courte : quatorze jours entre l’inscription au KEV et l’obligation fédérale. Un pare-feu compromis est une porte d’entrée, pas une fin en soi — il ouvre le chemin vers tout le reste du réseau.

Verdict

CVE-2026-19868 n’est pas la faille la plus spectaculaire de l’année : pas de RCE pré-authentification, pas de débordement mémoire. C’est un défaut de décision d’authentification — discret, précis, et déjà exploité, ce que son entrée au KEV du 6 novembre 2026 rend incontestable.

Si vous exploitez un pare-feu SonicOS Gen7 ou Gen8 avec le SSLVPN et le SAML activés, passez à 7.3.4-7013 ou 8.2.3-8015 avant le 20 novembre 2026 — l’échéance fédérale de la CISA est un bon repère pour tout le monde, pas seulement pour les agences. Si la mise à jour ne peut pas être immédiate, supprimez les comptes SSLVPN à méthode non-SAML et restreignez le SSLVPN à vos plages d’adresses : vous ne corrigez pas la faille, vous en réduisez la portée. Si vous gérez un parc hétérogène, commencez par les pare-feu exposés sur Internet — ils sont la cible. La règle à retenir : le KEV prime sur le CVSS quand les deux divergent, et un MFA contourné est un MFA absent.

Références

• SonicWall PSIRT — SNWLID-2026-0014, « SonicWall SonicOS Affected By Multiple Vulnerabilities » (6 novembre 2026)
• CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-19868 (ajoutée le 6 novembre 2026, échéance 20 novembre 2026)
• Ostorlab — SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868)
• BleepingComputer — SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks (6 novembre 2026)
• CVE.org — CVE-2026-19868, CNA SonicWall