En bref

  • SonicWall a divulgué deux zero-days dans ses appliances SMA 1000 — CVE-2026-15409 (CVSS 10.0) et CVE-2026-15410 — découverts sous exploitation active 22 jours avant la publication
  • Systèmes affectés : toutes les appliances SonicWall Secure Mobile Access 1000 series non patchées
  • Action requise : patch immédiat via MySonicWall, révocation de toutes les sessions VPN, rotation des mots de passe ET des graines TOTP pour tout utilisateur actif depuis le 22 juin 2026

Les faits

Le 14 juillet 2026, SonicWall a publié en urgence deux advisories pour ses appliances Secure Mobile Access (SMA) 1000 series. Ces deux vulnérabilités — CVE-2026-15409 (CVSS 10.0) et CVE-2026-15410 (CVSS 7.2) — étaient déjà exploitées à l'état de zero-day depuis au moins le 22 juin 2026, soit 22 jours avant leur divulgation publique. La découverte est attribuée à l'équipe Rapid7 MDR, qui a observé une activité suspecte sur des appliances clients avant d'alerter SonicWall.

CVE-2026-15409 (CVSS 10.0) — Server-Side Request Forgery critique. Cette faille affecte le composant de gestion des connexions websocket de l'appliance SMA 1000. Elle permet à un attaquant non authentifié d'envoyer des requêtes forgées qui contraignent l'appliance à ouvrir un tunnel websocket vers ses propres services internes — des services qui ne devraient jamais être exposés sur le réseau. Cela revient à transformer l'appliance en proxy de ses propres interfaces d'administration interne. Score CVSS 3.1 : 10.0 — le maximum absolu. Vecteur réseau, sans authentification, sans interaction utilisateur, impact total sur la confidentialité, l'intégrité et la disponibilité.

CVE-2026-15410 (CVSS 7.2) — Escalade de privilèges locale vers root. Cette seconde faille, plus discrète mais décisive dans le contexte du chaînage avec CVE-2026-15409, est une élévation de privilèges exploitant le workflow de suppression de hotfix (remove_hotfix). Un attaquant ayant accès au service interne sur le port 8188 de localhost peut injecter un path traversal malveillant dans ce workflow pour exécuter des commandes OS arbitraires en tant que root. CVE-2026-15409 est précisément le mécanisme qui rend ce port 8188 accessible depuis l'extérieur.

Le chaînage des deux failles est dévastateur : CVE-2026-15409 ouvre l'accès au port 8188 localhost depuis n'importe quel point réseau atteignant l'interface web SMA, puis CVE-2026-15410 permet d'obtenir root sur l'appliance. Le résultat est une compromission complète de l'appliance VPN sans aucune authentification préalable. Ce type de chaîne (SSRF + LPE) est caractéristique des vulnerabilities weaponisées rapidement par des groupes APT organisés.

La CISA a immédiatement ajouté les deux CVE à son catalogue KEV et imposé aux agences FCEB (Federal Civilian Executive Branch) de patcher avant le 17 juillet 2026 — soit 72 heures après la divulgation. Ce délai extrêmement court reflète la gravité réelle de l'exposition sur le terrain.

La société Volexity, qui trace l'acteur responsable sous le nom UTA0533, a publié une analyse le 17 juillet 2026 révélant que l'objectif n'est pas une destruction immédiate mais un accès persistant et discret. Une fois l'appliance compromise, UTA0533 procède à trois opérations clés : extraction des credentials VPN stockés, extraction des bases de données de sessions actives, et — point particulièrement inquiétant — extraction des graines TOTP. Voler la graine TOTP d'un utilisateur revient à posséder son authentificateur de façon permanente : même si l'utilisateur change son mot de passe après l'incident, l'attaquant peut continuer à générer des codes MFA valides indéfiniment, jusqu'à réinitialisation de la graine elle-même.

La SMA 1000 est une gamme d'appliances VPN enterprise distincte de la gamme SMA 100 (PME). Elle est particulièrement répandue dans les grandes entreprises, administrations et secteurs régulés (santé, finance, défense). Cette divulgation s'inscrit dans une tendance documentée depuis 2024 : les appliances d'accès distant (Ivanti Connect Secure, Palo Alto GlobalProtect, Fortinet VPN) sont ciblées de manière systématique par des acteurs APT à la recherche d'un accès initial discret sur des réseaux à haute valeur. Source : advisory SonicWall du 14 juillet 2026, rapport Rapid7 MDR, analyse Volexity du 17 juillet 2026, BleepingComputer, Help Net Security.

La divulgation de CVE-2026-15409 et CVE-2026-15410 survient dans la même semaine que les deux CVSS 9.8 FortiSandbox. Pour rappel, ces doubles actualités périmètre s'inscrivent dans le contexte du Patch Tuesday juillet 2026 record, avec 621 CVE publiées en un seul mois. Juillet 2026 s'annonce comme l'un des mois les plus chargés de l'histoire pour les équipes de remédiation.

Impact et exposition

Toute appliance SonicWall SMA 1000 exposée sur Internet depuis le 22 juin 2026 doit être considérée comme potentiellement compromise. L'extraction de credentials et de graines TOTP dépasse largement l'impact sur l'appliance seule : l'attaquant dispose d'un accès VPN légitime avec MFA valide, lui permettant de se déplacer latéralement dans le réseau interne en passant pour un utilisateur autorisé. Ce type d'accès est particulièrement difficile à détecter car il ne génère pas d'alertes sur les systèmes UEBA configurés pour surveiller le trafic VPN standard.

Recommandations

  • Appliquer le patch firmware immédiatement : le firmware corrigé est disponible depuis le 14 juillet 2026 sur le portail MySonicWall
  • Révoquer toutes les sessions VPN actives : forcer la déconnexion de l'ensemble des utilisateurs et invalider les tokens de session
  • Rotation des mots de passe ET des graines TOTP : si l'appliance était exposée depuis le 22 juin, changer uniquement le mot de passe est insuffisant — les graines TOTP doivent être réinitialisées pour l'ensemble des utilisateurs VPN
  • Investigation forensic : sur toute appliance exposée non patchée avant le 14 juillet, engager une analyse des logs, processus et connexions réseau sortantes pour détecter une compromission par UTA0533

Alerte critique

CVE-2026-15409 est CVSS 10.0 — le score maximal. Exploitation confirmée par l'acteur UTA0533 depuis le 22 juin 2026. CISA KEV avec délai de patch de 72h pour les agences fédérales. Si votre appliance SMA 1000 était exposée sur Internet depuis cette date sans patch, considérez vos credentials VPN et vos graines TOTP comme compromis. La rotation du mot de passe seul ne suffit pas.

Changer les mots de passe VPN suffit-il après une exploitation de CVE-2026-15409 ?

Non. L'acteur UTA0533 extrait spécifiquement les graines TOTP (secrets de l'authentificateur). Tant que ces graines ne sont pas réinitialisées, l'attaquant peut continuer à générer des codes MFA valides même après rotation des mots de passe. La remédiation complète exige : 1) application du patch firmware, 2) révocation de toutes les sessions actives, 3) changement des mots de passe, ET 4) réinitialisation des secrets TOTP pour l'ensemble des utilisateurs VPN. Toute remédiation partielle laisse une porte ouverte.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit