CVE-2026-83548 : SonicWall SMA 1000 SSRF sans auth CVSS 10.0 exploitee, CISA KEV

Les faits

Le 1er septembre 2026, SonicWall a divulgue deux vulnerabilites critiques affectant ses appliances SMA 1000 Series (Secure Mobile Access) en precisanto que des exploitations actives avaient deja ete observees. CVE-2026-83548, notee CVSS 10.0 (score maximal), est une faille de type SSRF (Server-Side Request Forgery) dans l'interface Work Place de l'appliance SMA 1000.

Un attaquant distant non authentifie peut exploiter CVE-2026-83548 pour forcer l'appliance a relayer des requetes vers des ressources internes normalement inaccessibles depuis l'exterieur. L'appliance devient alors un proxy involontaire permettant d'acceder a des fonctionnalites d'administration sensibles, de recuperer des tokens de session, d'interagir avec des API internes ou de cartographier le reseau interne. Aucun compte, aucune session active ni aucune condition prealable n'est requise — la seule condition est que l'interface Work Place soit exposee sur Internet, ce qui correspond a l'usage standard des appliances SMA 1000.

CVE-2026-83549 est une vulnerabilite complementaire divulguee le meme jour, permettant une elevation de privileges post-exploitation. Selon les analyses de Rapid7 et Sophos, les deux CVE sont regulierement chainees : CVE-2026-83548 pour l'acces initial non authentifie, puis CVE-2026-83549 pour consolider le controle. Ce chainage transforme une intrusion en compromission complete de l'appliance et potentiellement du reseau interne.

La CISA a integre CVE-2026-83548 a son catalogue Known Exploited Vulnerabilities (KEV) le 2 septembre 2026, dans le cadre d'un lot de sept vulnerabilites ajoutees simultanement. Parmi les six autres CVE ajoutees figure CVE-2026-49869 (CVSS 10.0 egalement), une injection de commandes OS dans Kestra OSS, une plateforme d'orchestration de workflows open source de plus en plus utilisee dans les pipelines de donnees d'entreprise.

CVE-2026-49869 dans Kestra OSS permet a un attaquant distant non authentifie de creer et d'executer des workflows arbitraires sans aucune accreditation. L'exploitation documentee dans la nature remonte a fin juin 2026 : un acteur malveillant a utilise cette faille pour etablir un reverse shell, cartographier l'environnement Docker du conteneur compromis, deployer un miner de cryptomonnaie et exfiltrer des donnees. Les equipes utilisant Kestra OSS pour l'automatisation — notamment dans des contextes DevOps ou de data engineering — doivent considerer cette vulnerabilite comme critique.

Pour SonicWall SMA 1000, il s'agit d'une tendance preoccupante : c'est la troisieme serie de vulnerabilites critiques dans ces appliances en moins de 18 mois. En janvier 2025, une faille zero-day dans SMA 100 Series avait deja ete exploitee massivement avant publication du patch. Ces appliances, positionnees comme solutions d'acces distant securise, constituent des cibles de choix pour les groupes APT et les affilies ransomware, car leur compromission donne un acces direct au reseau interne.

Selon les donnees de l'IONIX Threat Center, environ 4 200 instances SonicWall SMA 1000 etaient exposees publiquement sur Internet au moment de la divulgation, dont une part significative dans des secteurs critiques (sante, energie, finance, administration publique). La France compte parmi les pays europeens avec le plus grand nombre d'appliances SonicWall deployees, notamment dans des ETI et des collectivites territoriales.

Le patch SonicWall est disponible via le portail MySonicWall. L'editeur recommande egalement de restreindre l'acces a l'interface Work Place via des regles de pare-feu et de mettre en place une authentification multi-facteurs (MFA) comme mesure complementaire, meme apres application du correctif.

Impact et exposition

CVE-2026-83548 atteint le score CVSS maximal de 10.0 : aucune authentification, exploitation triviale, impact maximal. Dans un contexte ou les appliances SMA 1000 sont deployees pour securiser l'acces distant, leur compromission equivaut a une porte d'entree ouverte sur l'ensemble de l'infrastructure. Le chainage avec CVE-2026-83549 permet une prise de controle complete. Pour Kestra OSS, l'impact est particulierement severe dans les environnements DevOps et data engineering ou la plateforme peut avoir des acces privilegies a des bases de donnees, des buckets cloud et des secrets d'infrastructure.

Recommandations

• Appliquer immediatement le firmware SonicWall patche disponible sur MySonicWall pour les appliances SMA 1000 Series.
• Restreindre l'acces a l'interface Work Place SMA 1000 aux seules IP autorisees via des regles de pare-feu en amont.
• Mettre en place ou verifier l'activation du MFA sur toutes les sessions d'acces distant via SMA 1000.
• Auditer les logs d'acces Work Place sur les 30 derniers jours pour detecter des acces anormaux ou des requetes SSRF.
• Pour Kestra OSS : mettre a jour immediatement et verifier les workflows recemment crees pour detecter toute execution malveillante.