SonicWall publie des correctifs pour 7 failles dans ses pare-feu, la plupart impliquant un accès non authentifié

SonicWall a mis à jour lundi son avis concernant sept failles de cybersécurité affectant ses pare-feu Gen 7 et Gen 8, dont cinq permettent des attaques à distance non authentifiées, pour avertir qu’il est conscient de l’exploitation active « potentielle » d’au moins un des bugs, CVE-2026-19868, un contournement des contrôles d’authentification SAML dans son service VPN SSL SonicOS.

Et Frank Dickson, analyste principal chez Dickson Research, a souligné que ces failles impliquent des gammes de produits SonicWall différentes de celles récemment signalées.

« Le jour zéro de juillet et les failles de septembre ont touché les appareils d’accès à distance SMA 1000 de SonicWall », a-t-il déclaré. « Celui-ci touche SonicOS, le système d’exploitation de ses pare-feu Gen 7 et Gen 8. Le modèle a sauté dans les gammes de produits. Cela en fait un problème de fournisseur et non un problème de produit. Le mérite est dû : SonicWall a signalé le rapport d’exploitation dans son propre avis et le correctif fourni avec la divulgation. « 

Les sept vulnérabilités sont : CVE-2026-107155, une vulnérabilité de politique interdomaine permissive, avec un score CVSS de 8,8 ; CVE-2026-107154, une vulnérabilité de validation de session, également avec un score CVSS de 8,8 ; CVE-2026-82308, une vulnérabilité de dépassement de tampon de tas de pré-authentification dans SSL-VPN, avec un score CVSS de 7,5 ; CVE-2026-19868, une vulnérabilité d’application d’authentification via d’autres méthodes d’authentification, avec un score CVSS de 7,1 ; CVE-2026-77708, une vulnérabilité de dépassement de tampon de pile de pré-authentification dans TACACS+, avec un score CVSS de 5,9 ; CVE-2026-77709 , une vulnérabilité de dépassement de tampon du tas de pré-authentification dans TACACS+, avec un score CVSS de 5,9 également ; et CVE-2026-19703, un trou de hachage de mot de passe faible avec un score CVSS de 5,2.

SonicWall n’a fourni qu’une solution de contournement pour l’un des bogues, CVE-2026-19868 ; cela implique de désactiver ou de supprimer tout serveur d’authentification LDAP, RADIUS et TACACS+ actif configuré sur le pare-feu.

Un « sac mélangé »

Dickson a déclaré que les trous nouvellement signalés sont un sac mélangé.

« L’avis de SonicWall évalue son contournement SAML, CVE-2026-19868, à 7.1, en dessous de deux failles d’interface de gestion 8.8 », a déclaré Dickson. « Pourtant, c’est celui que CISA a ajouté à son catalogue de vulnérabilités exploitées connues le jour même où SonicWall l’a divulgué. SonicWall décrit une « exploitation potentielle » mais CISA dit actif. J’écouterais CISA. « 

Le bug permet à toute personne détenant des informations d’identification valides pour une autre méthode de connexion, telle qu’un compte local ou LDAP, d’ignorer SAML et le MFA qui s’y rattache, a-t-il noté, ajoutant que « les entreprises ont déplacé leurs VPN vers SAML précisément pour que chaque connexion passe par le fournisseur d’identité et son invite MFA. Cette faille rompt cette promesse ».

Certaines des autres failles d’authentification sont cependant potentiellement moins graves.

« Trois sont des dépassements de tampon de pré-authentification dont l’impact déclaré est un déni de service. Ils mettent le VPN hors ligne mais ne l’ouvrent pas », a déclaré Dickson. « Les deux failles 8.8 ne fonctionnent que dans des conditions spécifiques. Aucune des six n’est connue pour être exploitée. Elles sont importantes, (mais) elles ne font pas la une des journaux. »

Pourrait être combiné

Sav Wheeler, ingénieur de recherche sur les logiciels malveillants chez Malwarebytes, a ajouté que même si certaines de ces failles ne semblent pas particulièrement graves en elles-mêmes, elles pourraient être combinées pour être beaucoup plus dangereuses.

« Ces vulnérabilités dispersées à différentes étapes du processus d’authentification se combinent pour former une voie par laquelle un attaquant peut contourner presque entièrement l’authentification pour pénétrer dans un système et voler les informations d’identification », a déclaré Wheeler. « Le faible hachage des mots de passe est une cerise sur le gâteau pour les attaquants qui ont déjà pris pied. »

Il considère CVE-2026-19868 comme « la plus grande vulnérabilité individuelle », car le contournement potentiel de l’AMF via une authentification alternative signifie que « l’intégralité de la limite de confiance de l’AMF pourrait être effectivement inexistante même si une organisation en dépend pour sa sécurité ».

Il a cependant noté que même si l’attaquant a besoin d’informations d’identification valides pour qu’une autre méthode d’authentification fonctionne, « sinon, cela nécessite peu d’efforts et de ressources pour y accéder, car ils ne compromettent pas le MFA lui-même. Combiné avec l’utilisation d’adresses IP pour la validation (CVE-2026-107154), qui en elle-même offre peu de sécurité, il s’agit d’un grave échec de la politique d’authentification pour garantir qu’un utilisateur est bien celui qu’il prétend être ».

Sanchit Vir Gogia, analyste en chef chez Greyhound Research, a déclaré que le plus grand danger réside dans le fait que SAML se trouve au-dessus des anciennes connexions à l’annuaire qui restent actives.

« L’accès à distance est l’élément vital d’une entreprise distribuée, et un mot de passe d’annuaire volé y parvient désormais. Les RSSI qui ont déployé SAML pour mettre fin à l’accès par mot de passe uniquement ont des raisons de se sentir déçus. SonicWall leur doit un compte rendu complet de la façon dont le deuxième chemin est resté ouvert. « 

Un problème de gestion des risques liés aux fournisseurs

Ces vulnérabilités persistantes de SonicWall constituent un véritable problème, même si les failles de septembre et d’octobre résident dans un autre produit, a déclaré Gogia. « Ceux qui ont touché la passerelle d’accès à distance SMA1000, tandis que cet avis couvre les pare-feu SonicOS. Mais treize des vingt entrées de SonicWall dans la liste exploitée de CISA portent le drapeau d’une utilisation connue de ransomware, la part la plus élevée parmi huit fournisseurs Edge. »

Dickson a souligné que les prochaines étapes pour les RSSI d’entreprise sont plus délicates, car la faute en incombe peut-être moins au fournisseur qu’à la catégorie de produits elle-même.

« L’appliance VPN accessible sur Internet est le talon d’Achille du périmètre, quel que soit celui qui le construit », a-t-il souligné. « Changer de fournisseur, c’est échanger un talon contre un autre. Le modèle devrait changer la façon dont les RSSI déploient la périphérie, et pas seulement le logo qui y figure. Demandez à SonicWall s’il s’agit de nouveaux bogues ou si les mêmes classes de bogues reviennent. « 

Cependant, Erik Avakian, conseiller technique chez Infotech, a déclaré qu’il était moins disposé à laisser SonicWall s’en tirer aussi facilement.

« Tout fournisseur peut et va généralement être confronté à des vulnérabilités, mais lorsque nous constatons des problèmes de sécurité critiques répétés affectant le même fournisseur et qui représentent une tendance, impliquant notamment l’authentification et l’infrastructure Internet, cela soulève des questions légitimes sur leurs pratiques de développement sécurisées, leur assurance qualité et l’efficacité de leurs propres processus internes de gestion des vulnérabilités », a déclaré Avakian. « À un moment donné, cela devient plus qu’un simple problème de gestion des vulnérabilités individuelles. Cela devient un problème de gestion des risques liés aux fournisseurs. »

Il a souligné que les RSSI doivent évaluer si la fréquence et la gravité de ces vulnérabilités créent un niveau inacceptable d’exposition récurrente pour leur organisation. « Cela ne signifie pas automatiquement le remplacement des produits SonicWall, mais cela nécessite de tenir le fournisseur responsable des améliorations et de démontrer sa capacité à résoudre les problèmes sous-jacents », a-t-il déclaré.

Mesures préventives supplémentaires

En outre, Dickson a suggéré d’autres moyens pour les RSSI de se protéger face à ces nouvelles failles, au-delà de l’étape évidente consistant à les corriger.

« Répertoriez toutes les manières par lesquelles le VPN peut authentifier un utilisateur : comptes locaux, LDAP, RADIUS et TACACS+. Supprimez ce dont vous n’avez pas besoin, en particulier les comptes d’administrateur et de service locaux restants. Faites pivoter les mots de passe sur chaque compte non SAML restant », a-t-il conseillé. « Comparez les connexions VPN avec les connexions du fournisseur d’identité. Une session VPN sans connexion SAML correspondante est votre signal d’alarme. Regardez en arrière aussi loin que vos journaux, puisque SonicWall n’a pas indiqué quand l’exploitation a commencé. Et retirez l’interface de gestion de l’Internet ouvert. «