CVE-2026-102255 : SonicWall SMA1000 CVSS 10.0 exploité 48h après sa divulgation

Les faits

Le 6 octobre 2026, SonicWall a publié un avis de sécurité décrivant CVE-2026-102255, une vulnérabilité critique de type Server-Side Request Forgery (SSRF) dans l'interface Work Place des appliances SonicWall SMA1000 (Secure Mobile Access). Avec un score CVSS de 10.0, cette faille permet à un attaquant distant non authentifié de forcer l'appliance à émettre des requêtes HTTP arbitraires vers ses propres services internes, contournant ainsi l'ensemble des mécanismes d'authentification en place.

La rapidité d'exploitation est particulièrement alarmante : les premiers honeypots configurés par les chercheurs d'Aviatrix et Shattered Security ont enregistré leurs premières tentatives d'attaque dès le 8 octobre 2026 à 04h12 UTC, soit 46 heures seulement après la publication de l'advisory officiel. En 72 heures, 135 tentatives d'exploitation distinctes avaient été comptabilisées, provenant d'adresses IP distribuées sur plusieurs continents — signature typique d'une infrastructure d'exploitation automatisée.

Techniquement, la faille exploite un "chemin d'accès alternatif non intentionnel" (unintended alternate access path) dans le traitement des requêtes HTTP par l'interface Work Place. L'attaque la plus documentée consiste en des requêtes OPTIONS spécialement forgées ciblant le service CouchDB interne de l'appliance, accessible localement sur 127.0.0.1:5984. CouchDB est la base de données NoSQL utilisée par SonicWall SMA1000 pour stocker ses configurations, sessions et informations d'utilisateurs. Par défaut, ce service écoute sur l'interface loopback avec les identifiants CouchDB par défaut (admin:admin), ce qui permet une élévation immédiate vers les droits d'administration de la base.

Un attaquant exploitant avec succès CVE-2026-102255 peut accéder à la totalité des données stockées dans CouchDB : configurations VPN, sessions actives, hachages de mots de passe des utilisateurs, et potentiellement les certificats SSL/TLS de l'appliance. Dans un scénario d'attaque avancé, ces informations permettent une prise de contrôle complète de l'appliance VPN et l'accès au réseau interne protégé qu'elle est censée sécuriser.

L'ironie n'est pas mince : SonicWall SMA1000 est précisément la solution utilisée par les entreprises pour sécuriser les accès distants de leurs collaborateurs. Compromettre cette appliance revient à disposer d'une entrée privilégiée dans le réseau de l'entreprise, avec tous les droits normalement accordés aux utilisateurs VPN. Les acteurs ransomware et les APT ciblent prioritairement ce type d'équipements de périphérie réseau depuis plusieurs années — CVE-2026-102255 s'inscrit dans une longue série de vulnérabilités critiques affectant les solutions d'accès distant des grands éditeurs.

BleepingComputer a rapporté que l'exploitation observée sur les honeypots semble pour l'instant exploratoire (reconnaissance, lecture de configuration) plutôt qu'immédiatement destructrice. Cela correspond à la phase initiale d'une campagne organisée : les acteurs cartographient d'abord les cibles accessibles et extraient les informations de configuration avant de passer à la phase de mouvement latéral ou de déploiement de ransomware.

Security Affairs et eSecurityPlanet ont confirmé que le délai de 48 heures entre divulgation et exploitation place CVE-2026-102255 parmi les vulnérabilités les plus rapidement armées de l'année 2026, aux côtés de CVE-2026-0257 (Palo Alto GlobalProtect) et CVE-2026-50522 (Microsoft SharePoint). La tendance de fond est claire : le délai moyen entre publication d'un advisory critique et première exploitation en conditions réelles continue de se comprimer d'année en année, avec l'accélération de la génération automatisée de PoC par des outils basés sur des LLM.

SonicWall avait déjà été dans la ligne de mire des attaquants en 2021 avec l'exploitation de CVE-2021-20016 sur les appliances SMA 100 series, et en 2023 avec CVE-2023-44221. La répétition de ces incidents sur des appliances de sécurité périmétrique souligne un problème structurel : ces équipements, exposés directement sur Internet par conception, cumulent surface d'attaque maximale et mises à jour souvent négligées par les équipes IT.

Impact et exposition

Les modèles concernés sont les SonicWall SMA1000 6210, 7210 et 8200v — des appliances typiquement déployées dans des moyennes et grandes entreprises pour gérer l'accès VPN SSL de centaines à plusieurs milliers d'utilisateurs distants. Toute organisation n'ayant pas appliqué le patch firmware au 8 octobre 2026 doit considérer ses appliances comme potentiellement compromises et procéder à un audit de ses logs d'accès. Les organisations les plus à risque sont celles où l'interface Work Place est directement accessible depuis Internet sans restriction géographique ou filtre IP préalable.

Recommandations

• Immédiat : appliquer le firmware 12.5.0-03082 (branche 12.5.x) ou 12.4.3-03670 (branche 12.4.x) disponibles sur MySonicWall.
• Si patch impossible immédiatement : restreindre l'accès à l'interface Work Place aux seules adresses IP légitimes via une ACL pare-feu en amont de l'appliance.
• Audit de compromission : analyser les logs CouchDB pour des requêtes OPTIONS anormales et vérifier l'intégrité des sessions VPN actives et des configurations LDAP/AD.
• Rotation des secrets : si une exposition est suspectée, révoquer et renouveler les certificats, réinitialiser les mots de passe administrateurs, et invalider toutes les sessions VPN actives.