SonicWall corrige une faille SSRF notée 10,0 dans ses passerelles d’accès à distance SMA1000

SonicWall a publié des hotfixes pour quatre vulnérabilités de sa série SMA1000, les appliances qu’utilisent les entreprises pour donner à leurs employés à distance l’accès aux réseaux et applications internes, rapportent The Hacker News et BleepingComputer. La plus grave, CVE-2026-102255, est une faille de falsification de requête côté serveur (SSRF) dans le portail WorkPlace, accessible sans se connecter. SonicWall lui attribue un score CVSS de 10,0, le maximum de l’échelle. Dans son bulletin, que The Hacker News date du 6 octobre, l’entreprise indique qu’un attaquant distant non authentifié pourrait exploiter un chemin d’accès non prévu pour amener l’appliance à envoyer des requêtes à sa place, atteindre des fonctions internes et effectuer des opérations non autorisées. Le bulletin ne précise pas quelles fonctions sont exposées.

Selon SonicWall, rien n’indique pour l’instant que des attaquants exploitent l’une des quatre failles, et l’entreprise recommande aux clients SMA1000 de passer aux versions corrigées. Les modèles concernés sont les SMA1000 6210, 7210 et 8200v. D’après The Hacker News, sur la branche 12.4.3, les builds jusqu’à 12.4.3-03526 sont vulnérables et la version 12.4.3-03670 ou ultérieure contient le correctif ; sur la branche 12.5.0, les builds jusqu’à 12.5.0-02952 sont vulnérables et la version 12.5.0-03082 ou ultérieure est corrigée. Ni la série SMA 100 ni la fonction SSL-VPN des pare-feu SonicWall ne sont concernées. The Hacker News ajoute que le hotfix est distribué via le portail MySonicWall, que l’appliance redémarre une fois celui-ci installé et qu’aucune solution de contournement n’est indiquée.

Les trois autres failles ne peuvent être exploitées qu’après connexion. CVE-2026-102256 est une injection de commandes du système d’exploitation (OS command injection) qui nécessite un accès administrateur et pourrait conduire à une exécution de code à distance ; SonicWall la note 7,8, selon The Hacker News. CVE-2026-102257, notée 7,2, est une faille de type Zip Slip dans l’Appliance Management Console (AMC) : une archive spécialement conçue peut placer des fichiers en dehors du dossier dans lequel elle est censée être décompressée, ce qui pourrait également aboutir à une exécution de code à distance. CVE-2026-102258, notée 5,5, est une faille de cross-site scripting stocké dans l’AMC qui requiert un compte administrateur. The Hacker News rapporte que SonicWall a cette fois crédité des chercheurs externes : CVE-2026-102255 et CVE-2026-102256 ont été signalées par Benoît Sevens d’Anthropic, tandis que Brian Mariani de DigitalCanion SA a découvert les deux autres, dont l’une a été soumise via la Zero Day Initiative de Trend Micro.

Ce correctif intervient après une série de failles SMA1000 exploitées. Selon le décompte de The Hacker News, il s’agit de la troisième faille SSRF de WorkPlace notée 10,0 et accessible sans connexion que SonicWall corrige cette année : les paires précédentes étaient CVE-2026-15409 avec CVE-2026-15410, rendues publiques le 14 juillet, et CVE-2026-83548 avec CVE-2026-83549, rendues publiques le 1er septembre, et dans les deux cas SonicWall avait indiqué avoir enquêté sur des attaques les exploitant. BleepingComputer rapporte que la paire de juillet a été exploitée pendant des semaines pour installer les malwares Sou5, OrangeTail et RootRun, lors d’attaques que la CISA a liées à des gangs de ransomware. The Hacker News souligne également que les builds vulnérables incluent 12.4.3-03526 et 12.5.0-02952, les builds que SonicWall avait présentés le 1er septembre comme corrigeant la paire exploitée, de sorte que les appliances mises à jour à ce moment-là ont tout de même besoin du nouveau hotfix. Selon le même média, SonicWall n’a pas précisé si la nouvelle faille SSRF peut être enchaînée avec les trois autres, et n’a pas réitéré son conseil antérieur de vérifier les appliances à la recherche d’indicateurs de compromission.