CVE-2026-15409 : SonicWall SMA1000 SSRF CVSS 10.0 zero-day

Les faits

Le 14 juillet 2026, SonicWall a divulgué deux zero-days critiques affectant ses appliances SMA1000 (Secure Mobile Access 1000 Series) : CVE-2026-15409 et CVE-2026-15410. Ces deux vulnérabilités, découvertes et initialement rapportées par l’équipe MDR de Rapid7, puis analysées en profondeur par les chercheurs de Volexity, étaient activement exploitées dans des attaques ciblées bien avant la publication des correctifs. L’alerte CERTFR-2026-ALE-006, publiée par l’ANSSI le 28 juillet 2026, confirme la criticité de la menace et appelle à une application immédiate des mises à jour pour les organisations françaises concernées.

CVE-2026-15409 est une vulnérabilité de type Server-Side Request Forgery (SSRF) dans l’interface WorkPlace des appliances SMA1000. Avec un score CVSS 3.1 de 10.0 — le score maximal absolu — cette faille permet à un attaquant non authentifié de forcer l’appliance à établir des connexions WebSocket vers des destinations arbitraires, y compris les services disponibles uniquement sur l’interface localhost. Techniquement, la fonctionnalité de proxy WebSocket exposée sur l’endpoint /wsproxy (port 443 par défaut sur l’interface WorkPlace) accepte sans aucune validation les paramètres host et port fournis dans l’URL de la requête. Un attaquant peut ainsi spécifier host=127.0.0.1 et port=8188 pour tunneliser des connexions vers des services internes normalement inaccessibles depuis l’extérieur de l’appliance.

CVE-2026-15410 est une vulnérabilité d’injection de commandes OS dans l’Appliance Management Console (AMC) de SonicWall SMA1000. Son score CVSS de 7.2 (High) reflète le fait qu’elle requiert des privilèges d’administrateur pour être exploitée directement. Cependant, en chaîne avec CVE-2026-15409, elle devient exploitable par un attaquant entièrement non authentifié. Le vecteur technique implique la méthode RPC sysCtrl.execRemoveHotfix, accessible sur le port 8188 (restreint à localhost dans une configuration normale). Cette méthode accepte un paramètre de chemin (path) sans validation adéquate, permettant une traversée de répertoire aboutissant à l’exécution de commandes arbitraires avec les privilèges root du système.

La chaîne d’exploitation documentée par Volexity dans son rapport "Proxying to Compromise" se déroule en plusieurs étapes précises. Premièrement, l’attaquant interroge l’endpoint WorkPlace pour récupérer le product_uuid de l’appliance, information exposée sans authentification. Deuxièmement, via CVE-2026-15409, il établit un tunnel WebSocket vers 127.0.0.1:8188, contournant la restriction d’accès localhost de l’AMC. Troisièmement, via ce tunnel, il invoque sysCtrl.execRemoveHotfix avec un paramètre de chemin malveillant exploitant CVE-2026-15410. Le résultat est une exécution de commandes arbitraires avec les droits root sur l’appliance SMA1000, sans avoir fourni le moindre identifiant valide.

Le groupe de menace UTA0533, identifié par Volexity, a exploité cette chaîne pour déployer un malware personnalisé baptisé KNUCKLEBALL. Ce dropper, dissimulé sous le nom deploy_new.py dans le système de fichiers de l’appliance, installe deux implants Java spécifiquement développés pour les systèmes SonicWall SMA : Sou5 et ORANGETAIL. Ces implants maintiennent une persistance discrète sur l’appliance compromise et incluent une fonctionnalité de web shell permettant à l’attaquant de conserver un accès permanent à distance, survivant aux redémarrages de services. L’architecture de command-and-control d’UTA0533 n’a pas encore été entièrement documentée publiquement.

La chronologie de l’exploitation est particulièrement préoccupante. Selon les investigations croisées de Rapid7, Volexity et Cybersecurity Dive, des attaques ciblant des appliances SMA1000 exposées sur Internet ont été observées pour la première fois au plus tard le 22 juin 2026, soit plus de trois semaines avant la divulgation officielle de SonicWall le 14 juillet. Cette fenêtre d’exploitation en zero-day de 22 jours représente une période pendant laquelle aucun correctif n’était disponible et aucune alerte officielle n’avait été émise. Les organisations se fiant uniquement aux bulletins officiels des éditeurs pour déclencher leurs processus de patching se retrouvent structurellement exposées pendant des semaines entières.

Les appliances SonicWall SMA1000 sont des concentrateurs VPN et d’accès à distance déployés par des entreprises de toutes tailles pour fournir un accès sécurisé aux ressources internes depuis l’extérieur. Par conception, ces équipements sont nécessairement exposés directement sur Internet et disposent de connexions directes vers les réseaux internes. Un accès root obtenu sur une appliance SMA1000 place l’attaquant dans une position stratégique : interception des sessions VPN actives, extraction d’identifiants en mémoire, modification de la configuration réseau, ou utilisation de l’appliance comme pivot silencieux pour attaquer d’autres systèmes internes sans déclencher d’alertes périmétriques. Les modèles affectés sont les SMA 6210 et 7210, ainsi que l’appliance virtuelle 8200v.

SonicWall a publié des correctifs dans les versions 12.4.3-03453 (branche 12.4) et 12.5.0-02835 (branche 12.5). Rapid7, Tenable et BleepingComputer ont confirmé que ces versions corrigent effectivement les deux vulnérabilités. L’alerte ANSSI CERTFR-2026-ALE-006 recommande l’application immédiate de ces correctifs. Au-delà du patching, les équipes cybersecurité doivent conduire une investigation rétrospective des journaux système pour détecter toute trace d’exploitation remontant au moins au 22 juin 2026, date d’exploitation confirmée la plus ancienne.

Impact et exposition

Toute organisation disposant d’une appliance SonicWall SMA1000 (6210, 7210 ou 8200v) avec son interface WorkPlace accessible depuis Internet est potentiellement exposée. Le CVSS 10.0 de CVE-2026-15409 reflète l’absence totale de barrières à l’exploitation initiale : réseau, sans authentification, sans interaction utilisateur, sans complexité technique particulière. La combinaison avec CVE-2026-15410 porte immédiatement cette exploitation au niveau d’une compromission complète avec les droits les plus élevés. Les secteurs industriels, de la santé, des services financiers et les collectivités utilisant SonicWall SMA pour l’accès distant de leurs télétravailleurs sont directement concernés.

L’exploitation active confirmée depuis le 22 juin 2026 signifie que des organisations ont pu être compromises silencieusement pendant plus de trois semaines. La présence du web shell ORANGETAIL peut maintenir un accès furtif même après une mise à jour firmware, si l’appliance n’a pas été entièrement réinitialisée après détection d’une compromission. Les indicateurs publiés par Volexity — présence du fichier deploy_new.py, processus Java anormaux, connexions sortantes vers l’infrastructure d’UTA0533 — permettent aux équipes de sécurité de vérifier si leur appliance a été ciblée.

Un attaquant contrôlant une appliance VPN d’accès distant contrôle de facto un point d’entrée privilégié vers l’ensemble du réseau interne. Les journaux VPN peuvent être falsifiés, les connexions légitimes interceptées, et l’appliance utilisée comme base de rebond persistante pour des opérations de long terme — mouvement latéral, exfiltration progressive de données — sans jamais exposer l’attaquant à des détections réseau périmétriques classiques.

Recommandations immédiates

• Mettre à jour immédiatement vers SMA1000 12.4.3-03453 (branche 12.4) ou 12.5.0-02835 (branche 12.5) — SonicWall Product Notice : SMA 1000 Series affected by Multiple Vulnerabilities
• Investiguer rétrospectivement les journaux système depuis le 22 juin 2026 : requêtes anormales vers /wsproxy avec paramètres host/port, appels à sysCtrl.execRemoveHotfix, connexions sortantes vers des IP inconnues
• Rechercher les IOCs KNUCKLEBALL : fichier deploy_new.py, processus Java non standards, implants Sou5 et ORANGETAIL (indicateurs publiés par Volexity dans "Proxying to Compromise")
• En cas de compromission confirmée ou suspectée : isoler l’appliance du réseau, conduire une analyse forensique, puis effectuer un factory reset complet avant de restaurer la configuration sur firmware sain
• Restreindre en amont via pare-feu périmétrique l’accès à l’interface WorkPlace (port 443) aux seules plages IP légitimes si la mise à jour immédiate est impossible
• Notifier l’ANSSI et, si compromission avérée avec données personnelles exposées, la CNIL (obligation RGPD 72h)