La société SonicWall a émis des avertissements de sécurité urgents et déployé des mises à jour logicielles pour corriger sept vulnérabilités de sécurité affectant ses pare-feu SonicOS, dont une faille critique permettant de contourner l'authentification dans les services de réseau privé virtuel SSL-VPN, dont l'exploitation a été confirmée dans le cadre d'attaques ciblées réelles.
Détails de la vulnérabilité et impact sur les systèmes VPN
La vulnérabilité en question porte le identifiant de suivi CVE-2026-19868 et présente un niveau de gravité de 7,1 sur l'échelle CVSS. Elle affecte directement les services SonicOS SSL-VPN configurés exclusivement pour utiliser l'authentification SAML. Cette faille permet aux attaquants disposant d'identifiants valides pour une méthode d'authentification alternative de contourner les contrôles d'authentification SAML, y compris le contrôle de l'authentification à deux facteurs ou multifacteur (MFA) imposée par le protocole.
Ryan Harris de la société The Electronic Office a découvert et signalé cette vulnérabilité, tandis que l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) s'est empressée de l'ajouter à son catalogue de vulnérabilités connues et exploitées (KEV), en émettant une directive contraignante enjoignant aux agences fédérales de sécuriser les systèmes concernés au plus tard le 20 novembre 2026.
Défauts supplémentaires et mises à jour de correction
Les mises à jour de sécurité ne se sont pas limitées à la faille de contournement de l'authentification ; l'entreprise a également corrigé six autres vulnérabilités dans le système SonicOS. Cette liste comprenait deux vulnérabilités dans l'interface de gestion classées avec un niveau de gravité de 8,8, permettant à des attaquants non authentifiés d'exécuter des opérations non autorisées sous certaines conditions. Les correctifs ont également inclus des vulnérabilités de dépassement de tampon (Buffer Overflows) pré-authentification dans les services SSL-VPN et TACACS+, susceptibles de provoquer des conditions de déni de service, ainsi qu'une faille de hachage de mot de passe faible affectant les machines virtuelles.
Qu'est-ce qui change concrètement pour les utilisateurs ?
- Portée concernée : Les versions de SonicOS Gen7 jusqu'à la version 7.3.3-7015 et les versions Gen8 jusqu'à la version 8.2.2-8015 sont touchées.
- Solution disponible : L'entreprise a publié des correctifs définitifs dans les versions 7.3.4-7013 et 8.2.3-8015, confirmant qu'aucun contournement temporaire n'est disponible en dehors d'une mise à jour immédiate.
- Conséquences pratiques : Les administrateurs informatiques et de systèmes sont tenus d'appliquer les correctifs de sécurité immédiatement, des preuves d'exploitation active ayant été relevées dans le cadre de cyberattaques actuelles ciblant les produits de l'entreprise.