Une faille critique (CVE-2026-102255) vise SonicWall SMA 1000 : 135 tentatives d'exploitation ont déjà été observées.

Les appliances SonicWall SMA 1000 sont à nouveau dans le viseur des attaquants. En effet, une vulnérabilité critique, récemment divulguée, est exploitée quelques jours seulement après sa publication. Au total, 135 tentatives d’exploitation ont été recensées après la diffusion du correctif. Les administrateurs ont donc très peu de temps pour réagir.

Une faille critique dans SonicWall SMA 1000

La vulnérabilité est référencée sous l’identifiant CVE-2026-102255. Elle obtient un score CVSS de 10,0, soit le maximum possible. Ainsi, cette note place la faille parmi les plus graves.

Le produit concerné est SonicWall Secure Mobile Access (SMA) 1000. Il s’agit d’une passerelle d’accès distant. Elle permet notamment aux utilisateurs de se connecter aux ressources internes d’une organisation.

Techniquement, la faille est une falsification de requête côté serveur, ou SSRF (server-side request forgery). Elle est exploitable avant toute authentification. Autrement dit, un attaquant distant n’a besoin d’aucun compte valide. Il peut ainsi pousser l’appliance à émettre des requêtes à sa place.

Comment fonctionne une SSRF sans authentification ?

Dans une attaque SSRF, le pirate ne s’en prend pas directement à sa cible finale. Il manipule le serveur vulnérable pour qu’il envoie lui-même des requêtes. Ainsi, le serveur agit comme un intermédiaire involontaire.

Ce mécanisme est particulièrement problématique pour un équipement de bordure. En effet, une passerelle d’accès distant occupe une position privilégiée. Elle est visible depuis Internet. Toutefois, elle dialogue aussi avec le réseau interne. Une requête émise depuis l’appliance peut donc atteindre des services que l’extérieur ne voit pas.

Les conséquences varient selon la configuration de l’environnement. Par exemple, une SSRF peut servir à cartographier des systèmes internes. Elle peut également permettre d’interroger des interfaces d’administration non exposées. Dans certains cas, elle constitue la première étape d’une chaîne d’attaque plus longue.

Le fait que la faille soit exploitable sans authentification aggrave le risque. En effet, il n’existe aucune barrière préalable à franchir. De plus, un attaquant peut automatiser les tentatives à grande échelle.

Des appliances SonicWall SMA 1000 exposées en première ligne

Les 135 tentatives d’exploitation observées montrent que les acteurs malveillants ont réagi très vite. Le délai est court entre la divulgation publique et les premières attaques. Par ailleurs, c’est un schéma désormais classique pour les failles critiques touchant des équipements réseau.

De plus, les passerelles d’accès distant attirent particulièrement les attaquants. Elles sont accessibles depuis Internet par nature. Leur compromission peut ouvrir un accès au cœur du système d’information. C’est pourquoi chaque faille critique sur ce type de produit fait l’objet d’une surveillance intense.

Les informations disponibles ne précisent pas l’identité des attaquants. Aucun groupe malveillant n’est nommé à ce stade. On ignore aussi si ces tentatives ont abouti. Il faut donc rester prudent sur l’ampleur réelle des compromissions.

Néanmoins, le message est clair. Un correctif existe, et les pirates l’ont déjà pris pour cible. Or, la publication d’un patch sert souvent de point de départ aux attaquants. En effet, ils analysent la correction pour comprendre la faille. Ensuite, ils cherchent les systèmes qui n’ont pas encore été mis à jour.

Recommandations pour les administrateurs

Les équipes de sécurité doivent traiter cette alerte en priorité. Voici donc les mesures à engager sans attendre.

• Appliquer le correctif : installez la mise à jour publiée par SonicWall pour CVE-2026-102255. Pour cela, consultez l’avis de l’éditeur afin d’identifier les versions corrigées.
• Inventorier les appliances : recensez toutes les instances SMA 1000, y compris celles oubliées ou rarement administrées.
• Limiter l’exposition : restreignez, si possible, l’accès aux interfaces de gestion. En effet, celles-ci ne devraient pas être joignables depuis Internet.
• Analyser les journaux : recherchez des requêtes inhabituelles émises par l’appliance, notamment vers des adresses internes. Vérifiez également les accès suspects survenus depuis la divulgation.
• Surveiller le réseau : repérez les connexions sortantes inattendues depuis la passerelle. En effet, elles peuvent trahir un abus de la SSRF.
• Préparer une réponse à incident : en cas de doute, isolez l’équipement. Changez ensuite les identifiants et secrets qui y transitent.

Ce qu’il faut retenir

La faille CVE-2026-102255 affecte SonicWall SMA 1000 et atteint un score CVSS de 10,0. Elle repose sur une SSRF exploitable avant authentification. Par ailleurs, des attaquants l’exploitent déjà, avec 135 tentatives observées après le correctif.

Le délai entre divulgation et exploitation se compte en jours. Par conséquent, l’application rapide du patch est la mesure la plus efficace. Elle doit également s’accompagner d’une vérification des journaux, afin de détecter une éventuelle activité antérieure à la mise à jour.

Source : Critical SonicWall SMA 1000 Flaw Targeted in 135 Exploitation Attempts After Patch