La chaîne de failles SonicWall SMA1000 est en retard sur la liste des bugs exploités CISA

L'avis PSIRT de SonicWall SNWLID-2026-0016 couvre deux vulnérabilités dans les appliances d'accès distant sécurisé SMA1000 que l'éditeur confirme être activement exploitées. Les deux, CVE-2026-83548 et CVE-2026-83549, figurent au catalogue des vulnérabilités connues et exploitées de la CISA, et la date limite fédérale de remédiation du 5 septembre est déjà passée.

Comment les deux failles s'enchaînent

CVE-2026-83548 (CVSS 10.0) est une falsification de requête côté serveur avant authentification dans l'interface Work Place du SMA1000 : l'interface expose une voie d'accès non prévue qui permet à l'appliance d'agir comme un proxy de transfert, de sorte qu'un attaquant distant non authentifié peut atteindre des fonctionnalités internes qui ne devraient pas être accessibles de l'extérieur. CVE-2026-83549 (CVSS 7.8) est une faille d'injection de commande OS dans la console de gestion de l'appliance qui nécessiterait normalement une session administrateur authentifiée. Enchaînées, la faille SSRF amène un attaquant au point où la faille d'injection de commande peut être déclenchée sans aucune information d'identification, ce qui aboutit à une exécution de code à distance non authentifiée sur des appliances exposées à Internet. Selon les rapports de Rapid7 et Sophos, aucune preuve de concept publique, aucun indicateur de compromission ni aucune attribution n'avaient été identifiés au moment de la publication, même si SonicWall confirme que l'exploitation est en cours.

Modèles concernés et correctif

Les failles touchent les appliances SMA 6210, 7210 et 8200v exécutant le micrologiciel 12.4.3-03453 ou antérieur, et 12.5.0-02835 ou antérieur. Les correctifs publiés par SonicWall sont 12.4.3-03526 et 12.5.0-02952 ; le SSL VPN sur les pare-feu SonicWall et la gamme distincte SMA 100 ne sont pas concernés.

Que faire

• Inventoriez chaque déploiement SMA1000, physique et virtuel, sur tous les locataires, en consignant la version du micrologiciel et l'exposition à Internet.
• Passez immédiatement à la version de correctif publiée ; il ne s'agit pas d'une situation où l'on peut attendre avec une solution de contournement, compte tenu de l'exploitation confirmée.
• Lorsqu'une mise à niveau immédiate n'est pas possible, réduisez l'exposition de l'interface Work Place comme mesure provisoire, et non comme substitut au correctif.
• Si des indicateurs de compromission sont découverts, la recommandation de SonicWell est de réimager les appliances physiques ou de redéployer les appliances virtuelles à partir de zéro, de changer tous les mots de passe des utilisateurs et des administrateurs, et de réinitialiser les jetons TOTP.

La date limite du 5 septembre de la CISA s'impose spécifiquement aux agences civiles fédérales américaines, mais compte tenu de la confirmation par SonicWall d'une exploitation active, tout opérateur exécutant SMA1000 devrait la traiter comme un correctif à priorité immédiate plutôt que comme un élément de maintenance planifiée.

Sources : Avis produit SonicWall, Rapid7, Sophos.