CVE-2026-109593 : SonicWall GMS fuite fichiers, sans patch

Les faits

SonicWall a publié le 4 novembre 2026 une alerte de sécurité concernant deux vulnérabilités affectant SonicWall Global Management System (GMS), son outil centralisé de gestion des firewalls et des équipements de sécurité réseau. Les références CVE-2026-109593 et CVE-2026-109594 concernent des versions 9.5.2 et antérieures de GMS, un produit désormais classé End-of-Life (EOL) par SonicWall. La particularité alarmante de cette divulgation réside dans la déclaration explicite de l'éditeur : aucun correctif de sécurité ne sera développé ni publié pour ce produit.

CVE-2026-109593 est une vulnérabilité de lecture de fichiers internes non authentifiée. Un attaquant disposant d'un accès réseau à l'interface de gestion de SonicWall GMS peut, sans fournir d'identifiants valides, lire des fichiers arbitraires accessibles au processus GMS sur le système hôte. Cette classe de vulnérabilité, dite arbitrary file read ou path traversal, peut permettre l'extraction de fichiers de configuration contenant des identifiants en clair, des clés privées, des certificats SSL, ou des données sensibles sur l'infrastructure réseau gérée. Dans le contexte de GMS, qui centralise la gestion de tous les firewalls SonicWall d'une organisation, l'impact d'une telle fuite peut être catastrophique.

CVE-2026-109594 est une vulnérabilité d'injection SQL affectant une fonctionnalité accessible à un utilisateur authentifié avec des privilèges élevés. Elle permet à cet utilisateur d'accéder à l'intégralité de la base de données GMS ou de la modifier, outrepassant les contrôles d'accès normaux de l'application. Dans les environnements où un attaquant a préalablement compromis un compte administrateur via phishing, credential stuffing ou exploitation d'une autre vulnérabilité, CVE-2026-109594 permet d'étendre l'accès à toutes les données stockées dans GMS, y compris les configurations de tous les firewalls gérés.

La combinaison des deux vulnérabilités représente un risque stratégique pour toute organisation utilisant SonicWall GMS comme console centrale de gestion. CVE-2026-109593 peut permettre l'extraction d'identifiants stockés dans des fichiers de configuration, qui peuvent ensuite être utilisés pour s'authentifier et déclencher l'injection SQL de CVE-2026-109594. Cette chaîne d'exploitation éventuelle transforme une vulnérabilité de lecture de fichiers en accès complet à la base de données de configuration de tous les équipements réseau gérés.

L'historique de SonicWall GMS en matière de sécurité est préoccupant. L'éditeur a connu plusieurs vagues d'exploitation de vulnérabilités critiques sur ses produits au cours des années précédentes, certaines ajoutées au catalogue KEV (Known Exploited Vulnerabilities) de la CISA. Cette réputation d'équipements fréquemment ciblés, combinée à l'absence de patch pour CVE-2026-109593 et CVE-2026-109594, place les organisations utilisant encore GMS 9.5.2 dans une situation de risque résiduel non adressable par des moyens techniques sur le produit lui-même.

SonicWall argumente que GMS est un produit EOL et que les ressources de développement ne seront pas mobilisées pour corriger des vulnérabilités dans une version non maintenue. Cette position, bien que commercialement compréhensible, est techniquement et éthiquement problématique : GMS est un composant d'infrastructure critique gérant l'ensemble de la sécurité réseau d'une organisation. Des organisations peuvent se retrouver avec un outil de gestion centralisée de leur sécurité qui est lui-même vulnérable à des attaques permettant d'extraire des configurations sensibles.

Les scores CVSS de CVE-2026-109593 et CVE-2026-109594 n'ont pas été communiqués par SonicWall dans son advisory. Sur la base du vecteur d'attaque de CVE-2026-109593 (réseau, non authentifié, lecture de fichiers arbitraires), un score CVSS v3.1 dans la plage 7.5 à 8.6 est attendu. CVE-2026-109594 (injection SQL authentifiée haute-privilèges) devrait se situer dans la plage 6.5 à 7.2, selon les conditions d'exploitation documentées. Ces évaluations restent provisoires dans l'attente de la publication officielle par NVD/NIST.

Cette situation de double vulnérabilité sans patch dans un produit de gestion centralisée de la sécurité réseau illustre le risque systémique posé par les logiciels en fin de vie dans les infrastructures critiques. Les DSI et RSSI doivent intégrer la gestion du cycle de vie des outils de sécurité eux-mêmes comme composante à part entière de leur stratégie de réduction de la surface d'attaque.

Impact et exposition

Toute organisation déployant SonicWall GMS 9.5.2 ou une version antérieure est exposée à CVE-2026-109593 et CVE-2026-109594 sans perspective de correctif de l'éditeur. L'impact potentiel est amplifié par la nature même du produit : GMS centralise la gestion de l'ensemble des firewalls SonicWall d'une organisation, incluant règles de filtrage, VPN, comptes utilisateurs, politiques d'accès et logs de sécurité. Une compromission de GMS équivaut à une compromission potentielle de l'ensemble de l'infrastructure réseau supervisée.

CVE-2026-109593, non authentifiée, est exploitable depuis n'importe quel hôte ayant accès réseau à l'interface de GMS. Dans les configurations où GMS est accessible depuis Internet ou depuis un segment réseau compromis, l'exploitation est immédiate sans obstacle d'authentification. Les fichiers typiquement ciblés dans ce type d'attaque incluent les fichiers de configuration de l'application, les fichiers contenant des mots de passe d'administration, et les certificats SSL/TLS utilisés pour les communications sécurisées.

CVE-2026-109594 requiert une authentification préalable avec des privilèges élevés. Cette condition limite sa dangerosité immédiate pour des attaquants externes non authentifiés, mais elle reste critique dans les scénarios d'attaquant interne (insider threat), de compromission de compte admin via phishing, ou d'exploitation en chaîne avec CVE-2026-109593. La combinaison des deux vulnérabilités crée un vecteur d'exploitation en deux étapes permettant une compromission complète de GMS.

Les secteurs les plus exposés sont ceux ayant adopté SonicWall comme équipementier réseau principal et qui maintiennent des déploiements GMS anciens sans plan de migration défini : PME, collectivités territoriales, établissements de santé, et organisations éducatives figurent parmi les utilisateurs historiques de SonicWall GMS. L'absence de patch légitime pour ces deux CVE crée une dette de sécurité non remboursable sans migration vers une solution alternative.

Recommandations immédiates

• Identifier tous les déploiements SonicWall GMS 9.5.2 et versions antérieures dans l'infrastructure
• Planifier en urgence la migration vers SonicWall Network Security Manager (NSM) — solution de remplacement officielle maintenue par SonicWall
• En attendant la migration : isoler GMS derrière un VLAN de management strict, avec accès limité aux seules adresses IP des administrateurs réseau
• Désactiver l'accès Internet direct à l'interface GMS si ce n'est pas déjà fait — l'interface ne doit jamais être exposée sur Internet
• Activer l'authentification multifacteur (MFA) sur tous les comptes GMS pour limiter le risque d'exploitation de CVE-2026-109594 via des comptes compromis
• Surveiller les accès à GMS via SIEM pour détecter toute tentative d'accès non autorisée ou de requêtes inhabituelles
• Ne pas accepter d'exception de sécurité pour GMS EOL sans délai maximal documenté vers NSM