La société SonicWall a émis un avertissement urgent à l'attention de ses clients concernant la découverte de deux failles de sécurité dans son système de gestion mondial (Global Management System - GMS), indiquant que ces vulnérabilités ne seront pas corrigées par de futures mises à jour logicielles. Cette mesure intervient en raison de l'atteinte par le système GMS de sa phase "de fin de vie" (End-of-Life), ce qui signifie l'arrêt officiel du support technique et des mises à jour de sécurité le concernant.
Détails des failles découvertes
Les deux failles ont été identifiées par des chercheurs en sécurité de Pentest-Tools et touchent la version 9.5.2 du système GMS ainsi que les versions antérieures. Les risques sont les suivants :
- La première faille (CVE-2026-109593) : Permet à des attaquants non autorisés, disposant d'un accès au réseau, de lire les fichiers internes du système et de dérober des informations sensibles.
- La seconde faille (CVE-2026-109594) : Permet à des attaquants disposant de privilèges élevés d'accéder à la base de données du système GMS ou de modifier les informations qui y sont stockées, par le biais d'attaques par "injection SQL" (SQL Injection) de faible complexité.
Pourquoi cette nouvelle représente-t-elle un réel danger ?
Le danger réside dans le fait que les organisations qui continuent de s'appuyer sur le système GMS pour gérer leurs équipements de sécurité se retrouvent face à des "failles ouvertes" sans solution logicielle. En règle générale, les entreprises publient des correctifs de sécurité (Patches) dès la découverte des failles, mais le statut de fin de vie (EOL) signifie que la seule solution disponible est la mise à niveau complète vers la plateforme alternative, à savoir Network Security Manager (NSM). Tout retard dans le processus de transition expose l'infrastructure de l'organisation à un piratage direct par le biais de vulnérabilités connues et documentées.
Un contexte de sécurité aux défis croissants
Cet avertissement intervient à un moment où SonicWall fait face à des pressions de sécurité accrues ; les données de l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) indiquent que 19 failles de l'entreprise ont été activement exploitées, dont 13 failles utilisées par des groupes de rançongiciels (Ransomware). L'entreprise a connu une série d'attaques de type "zéro day" (Zero-day) au cours des derniers mois, ce qui fait de l'élimination des systèmes obsolètes et non pris en charge une priorité absolue pour éviter de cibler l'infrastructure numérique.