Deux zero-day, une même appliance dans le viseur, et des attaquants qui n’ont pas attendu la permission. SonicWall confirme que ses passerelles d’accès distant SMA 1000 font l’objet d’attaques actives via deux vulnérabilités. Ces boîtiers servent aux entreprises à exposer des services internes vers l’extérieur : autant dire une cible de choix. La première faille relève de l’injection de code et permet l’exécution de commandes d’administration. La seconde est une SSRF (server-side request forgery), qui force l’équipement à émettre des requêtes vers des destinations non prévues.
Dans un avis de sécurité publié le 14 juillet 2026, le constructeur précise que les deux failles, référencées CVE-2026-15409 et CVE-2026-15410, sont exploitées in the wild. Les modèles concernés sont les SMA6210, SMA7210 et SMA8200v, sur plusieurs firmwares dont les branches 12.4.3 et 12.5.0.
Points clés
- SonicWall confirme l’exploitation active de CVE-2026-15409 (SSRF) et CVE-2026-15410 (injection de code) sur ses SMA 1000
- Modèles concernés : SMA6210, SMA7210 et SMA8200v, sur les firmwares des branches 12.4.3 et 12.5.0
- Le patch ne suffit pas : analyse forensique, changement des mots de passe et réinitialisation des jetons TOTP recommandés
- Les deux failles sont enchaînées dans des attaques visant des passerelles exposées sur Internet
Deux vulnérabilités, deux rôles dans l’attaque
Sur le papier, CVE-2026-15409 est la plus critique. Classée SSRF, elle amène l’appliance à contacter des emplacements réseau non souhaités. La seconde, CVE-2026-15410, vise la console de gestion des SMA 1000 : dans certaines conditions et avec des droits d’administrateur, elle ouvre la porte à l’exécution de commandes système arbitraires.
D’après les analyses parues le 14 juillet 2026, les deux failles sont enchaînées dans les attaques en cours. La cible type : des passerelles d’accès à distance exposées sur Internet, ces portes d’entrée que l’on croit toujours mieux verrouillées qu’elles ne le sont.
SonicWall demande à ses clients de :
- installer sans délai la version corrigée via son portail de support ;
- mener une analyse forensique des systèmes concernés ;
- réinstaller les appliances physiques ou redéployer les appliances virtuelles en cas d’indice de compromission ;
- changer les mots de passe utilisateurs et administrateurs ;
- réinitialiser les jetons TOTP si nécessaire.
Le correctif ne clôt pas le dossier
Le constructeur martèle un point souvent oublié : patcher ne suffit pas. Il recommande d’éplucher les journaux à la recherche d’indices de compromission, avec des marqueurs précis comme des requêtes suspectes vers /wsproxy et certaines traces de manipulation de hotfix. Une machine déjà compromise le reste, correctif ou pas.
La découverte des failles est attribuée à Adam Babis, de l’équipe PSIRT de SonicWall (Product Security Incident Response Team). Un message a été envoyé aux clients avant la publication de l’avis officiel, histoire d’accélérer le déploiement des correctifs.
Le calendrier est chargé pour les administrateurs d’infrastructures exposées. Le 14 juillet 2026, le catalogue américain des vulnérabilités exploitées connues s’est enrichi de plusieurs autres failles activement utilisées, plaçant les équipements d’accès distant et les systèmes d’identité en haut de la pile des priorités.
