Des attaquants ont commencé à cibler une vulnérabilité critique de SonicWall deux jours seulement après la publication par l’entreprise d’un correctif de sécurité.
Répertoriée sous le numéro CVE-2026-102255, la faille affiche un score CVSS maximal de 10,0 et affecte les appliances SonicWall Secure Mobile Access (SMA) 1000. Des chercheurs en sécurité ont détecté des tentatives d’exploitation à partir du 8 octobre, après la divulgation et la publication du correctif par SonicWall le 6 octobre.
Cette activité met en danger les organisations qui utilisent ces appliances pour l’accès à distance, même si les chercheurs n’ont confirmé aucune compromission réussie liée à cette vulnérabilité.
Les chercheurs détectent 135 tentatives d’exploitation
Les entreprises de renseignement sur les menaces Previdian et Defused Cyber ont signalé une activité suspecte visant CVE-2026-102255 peu après sa divulgation.
Selon BleepingComputer, Ryan Dewhurst, fondateur de Previdian, a déclaré que les pots de miel de l’entreprise avaient détecté des requêtes HTTP spécialement conçues pour cibler l’interface WorkPlace Extraweb.
Ces requêtes tentaient d’atteindre un service CouchDB interne en passant par l’appliance vulnérable.
Defused Cyber a observé indépendamment une activité similaire visant ses leurres SonicWall SMA à partir du 8 octobre.
Au 12 octobre, Previdian avait recensé 135 tentatives d’exploitation depuis deux adresses IP basées aux États-Unis, selon The Hacker News.
Les chercheurs n’ont pas établi si ces tentatives avaient permis de compromettre des systèmes.
L' avis officiel de SonicWall indique toujours que l’entreprise ne dispose d’aucune preuve d’une exploitation à grande échelle. Toutefois, le Centre canadien pour la cybersécurité a mis à jour son alerte le 9 octobre pour reconnaître l’existence de signalements publics d’exploitation.
Fonctionnement de la vulnérabilité de SonicWall
CVE-2026-102255 est une vulnérabilité de falsification de requête côté serveur (SSRF) avant authentification dans l’interface WorkPlace de l’appliance SMA1000.
Selon le fichier CVE officiel, la faille résulte d’un chemin d’accès alternatif involontaire qui pourrait permettre à un attaquant distant non authentifié de contraindre l’appliance à envoyer des requêtes vers des services internes et à effectuer des opérations non autorisées.
Les vulnérabilités SSRF peuvent permettre aux attaquants d’abuser de l’accès réseau d’un système de confiance pour atteindre des ressources qui seraient autrement inaccessibles depuis l’extérieur.
Des chercheurs en sécurité ont averti qu’une exploitation réussie pourrait potentiellement entraîner la compromission de l’appliance. Toutefois, les tentatives documentées publiquement n’établissent ni l’exécution de code à distance ni un accès persistant par l’intermédiaire de cette vulnérabilité particulière.
Quelles appliances SonicWall sont concernées ?
La faille affecte les déploiements physiques et virtuels des modèles SonicWall SMA1000 6210, 7210 et 8200v.
SonicWall a identifié les versions de micrologiciel concernées et corrigées suivantes :
Micrologiciel concerné | Micrologiciel corrigé |
| 12.4.3-03526 et antérieures | 12.4.3-03670 et ultérieures |
| 12.5.0-02952 et antérieures | 12.5.0-03082 et ultérieures |
La vulnérabilité n’affecte pas la gamme SMA 100 ni la fonctionnalité SSL-VPN exécutée sur les pare-feu SonicWall.
SonicWall a publié les correctifs le 6 octobre, ainsi que des correctifs pour trois vulnérabilités supplémentaires impliquant l’exécution de code à distance, la traversée de répertoires et le cross-site scripting stocké.
Les organisations invitées à corriger leurs appliances vulnérables
SonicWall recommande aux organisations qui utilisent des appliances SMA1000 concernées de passer immédiatement aux versions de micrologiciel corrigées.
Les équipes de sécurité devraient également examiner les journaux des appliances et du réseau à la recherche de requêtes inhabituelles visant l’interface WorkPlace, notamment les tentatives d’accès à des services internes.
Cette activité fait suite à des attaques antérieures visant d’autres vulnérabilités des SMA1000, notamment des failles exploitées pour déployer des logiciels malveillants et obtenir un accès persistant aux réseaux d’entreprise. Toutefois, aucun élément de preuve public ne relie ces campagnes à CVE-2026-102255.
La rapidité des tentatives d’exploitation souligne également l’importance de se préparer à des attaques qui contournent les contrôles de sécurité préventifs.
Rick Howard, un dirigeant du secteur de la cybersécurité et ancien responsable de la sécurité chez Palo Alto Networks, a souligné l’importance de la résilience dans des commentaires transmis à eSecurity Planet.
« La seule stratégie qui ait du sens pour la plupart des organisations est la résilience. Je dois simplement survivre à l’attaque, pas l’empêcher », a déclaré Howard.
L’activité récente montre à quelle vitesse les attaquants peuvent commencer à cibler des vulnérabilités nouvellement divulguées, laissant aux organisations peu de temps pour sécuriser les systèmes exposés.
Autre actualité : Cisco a dévoilé sept vulnérabilités de sécurité touchant six familles de produits Meraki, dont des failles critiques.