SonicWall SMA 1000 : deuxième vague en sept semaines, patcher ne suffit pas

Le 1er septembre 2026, SonicWall publiait un avis de sécurité concernant deux vulnérabilités affectant les passerelles Secure Mobile Access (SMA) 1000. Sept semaines plus tôt, le 14 juillet, le même éditeur publiait un avis présentant exactement la même structure sur les mêmes équipements. Ce n'est pas une répétition anodine, et la réponse à y apporter non plus.

Deux avis, un schéma identique

Dans les deux cas, le couple de vulnérabilités associe une falsification de requêtes côté serveur (SSRF) exploitable sans authentification et une exécution de code arbitraire à distance réservée à un compte administrateur authentifié. En juillet, CVE-2026-15409 et CVE-2026-15410 ; en septembre, CVE-2026-83548 et CVE-2026-83549. Dans les deux cas, l'éditeur indique que les deux vulnérabilités sont activement exploitées.

Le CERT-FR relève sur les deux alertes le même point d'incertitude : l'éditeur ne précise pas s'il est possible, pour un attaquant non authentifié, de chaîner les deux vulnérabilités pour prendre la main sur l'équipement. En défense, cette absence de précision se traite comme un oui. Un SSRF non authentifié qui sert de tremplin vers une exécution de code administrateur est un scénario suffisamment classique pour qu'on ne parie pas contre lui.

Le point que beaucoup d'équipes manquent

L'application des correctifs n'est pas suffisante. L'éditeur recommande de réinstaller le système, changer tous les mots de passe utilisateurs et administrateurs, et réinitialiser les TOTP. — CERT-FR, CERTFR-2026-ALE-009

C'est la phrase décisive, et c'est celle qui est le plus souvent lue en diagonale. Appliquer le correctif ferme la porte d'entrée ; cela n'expulse pas celui qui est déjà entré. Sur un équipement de bordure qui porte l'authentification des accès distants, un attaquant présent avant le correctif conserve les secrets qu'il a collectés : comptes locaux, graines TOTP, condensats, éléments de configuration. Il reviendra par la porte principale, avec des identifiants valides, et la détection sera nettement plus difficile.

• Réinstaller le système à partir d'une image saine, plutôt que de se contenter de la mise à jour.
• Renouveler tous les mots de passe utilisateurs et administrateurs, sans exception de compte de service.
• Réinitialiser les secrets TOTP — un second facteur dont la graine a fuité n'est plus un second facteur.
• Rechercher les marqueurs de compromission. En juillet, SonicWall les publiait dans son bulletin ; en septembre, ils ne s'obtiennent qu'en contactant le support technique de l'éditeur. Prévoir ce délai dans le plan d'action.

Le problème de fond : les équipements de bordure

Le Panorama de la cybermenace 2025 du CERT-FR le formule sans détour : les vulnérabilités visant les équipements de bordure, et plus généralement les solutions exposées sur Internet, peuvent être exploitées très rapidement. Passerelles VPN, concentrateurs d'accès distant, pare-feux applicatifs : ces équipements cumulent trois propriétés qui en font des cibles de premier choix.

• Ils sont exposés par construction — leur raison d'être est d'être joignables depuis Internet.
• Ils sont peu instrumentés : beaucoup n'acceptent pas d'agent EDR et leur journalisation native est pauvre, ce qui laisse peu de matière à corréler.
• Ils détiennent des secrets d'authentification pour l'ensemble du parc, ce qui fait de leur compromission un point de départ, pas un incident isolé.

Ce que nous mettons en place chez nos clients

L'approche que nous privilégions ne consiste pas à espérer un correctif plus rapide, mais à réduire ce qu'une compromission de bordure permet d'atteindre. Trois mesures, par ordre de rapport efficacité sur effort :

• Exporter systématiquement les journaux de l'équipement vers le SIEM, et non les laisser sur l'appareil — un attaquant qui prend la main efface d'abord les traces locales.
• Traiter l'interface d'administration comme un actif critique : accès restreint à un réseau d'administration dédié, jamais depuis Internet, comptes nominatifs.
• Préparer à l'avance la procédure de réinstallation et de rotation des secrets, et la chronométrer. Le jour de l'alerte, la question n'est pas de savoir quoi faire mais combien de temps cela prend — et la réponse détermine si l'on patche en attendant ou si l'on coupe.

Deux alertes en sept semaines sur le même produit ne signifient pas que le produit est mauvais ; elles signifient que ce segment est scruté de près, par les chercheurs comme par les attaquants. Il faut le supposer pour l'ensemble des équipements de bordure du parc, quel que soit le logo.