Gros plan sur les ports d'un commutateur réseau, comme les appareils d'accès à distance SonicWall SMA1000 exposés à Internet

Faille SonicWall SMA1000 (CVE-2026-102255) : la fiche d’intervention avant, pendant, après

Mardi 6 octobre 2026, SonicWall a publié un avis sur CVE-2026-102255, une faille SonicWall notée 10 sur 10 dans l’interface Work Place de ses appareils d’accès à distance SMA1000. Trois jours plus tard, les leurres (pots de miel) de la firme Previdian détectaient déjà des tentatives d’exploitation, selon SC Media. Au moment d’écrire ces lignes, la faille n’était pas encore inscrite au catalogue des failles exploitées de la CISA américaine, mais les experts cités sont unanimes : il ne faut pas attendre.

L’essentiel en 30 secondes

Quoi : une faille de type SSRF (falsification de requête côté serveur), exploitable sans mot de passe.
Qui : les appareils SonicWall SMA1000 (modèles 6210, 7210 et 8200v) dont l’interface Work Place est exposée à Internet.
Pourquoi c’est grave : l’appareil qui contrôle l’accès à distance devient lui-même la porte d’entrée. L’authentification multifacteur ne bloque pas cette route.
Correctif : versions 12.4.3-03670 ou 12.5.0-03082. Aucune solution de contournement selon Suzu Labs.

La 3^e faille 10/10 du même genre en 9 mois

Denis Calderone, directeur technique de Suzu Labs, rappelle qu’il s’agit de la troisième faille SSRF notée 10 sur 10, exploitable sans authentification, dans l’interface Work Place en neuf mois : juillet, septembre et maintenant octobre. Son constat le plus inquiétant : « le micrologiciel publié en septembre pour corriger la chaîne précédente est exactement celui qui est vulnérable à celle-ci ». Autrement dit, les appareils mis à jour avec soin le mois dernier sont de nouveau exposés.

Concrètement, la faille permet de faire faire à l’appareil des requêtes vers ses propres services internes, qui n’auraient jamais dû être joignables de l’extérieur. Les tentatives observées visent le service CouchDB interne, et un module Metasploit public issu de la chaîne de septembre montre déjà comment passer de cet accès à l’exécution de code avec les droits les plus élevés.

La fiche d’intervention : avant, pendant, après

① AVANT le correctif

Repérer tous vos SMA1000 (6210, 7210, 8200v).
Exporter la configuration.
Prévoir un accès console (pas via le VPN).
Si vous ne pouvez pas corriger tout de suite : retirer l’interface Work Place d’Internet.

② PENDANT

Installer 12.4.3-03670 ou 12.5.0-03082.
L’appareil redémarre et coupe toutes les sessions VPN : prévoir une courte fenêtre de maintenance.
Ne pas appliquer le correctif à travers le VPN lui-même.

③ APRÈS

Vérifier que chaque appareil roule la version corrigée.
Chercher les traces décrites ci-dessous.
Au moindre doute : réinstaller l’appareil à neuf avant d’y mettre le nouveau micrologiciel.

Comme le résume Calderone : « Corriger un appareil compromis vous donne simplement un appareil compromis… corrigé. » Jason Soroko, de Sectigo, ajoute que le correctif ferme la faille, mais ne dit pas si un pirate est déjà entré.

Les 4 traces à chercher dans les journaux

SonicWall n’a pas publié d’indicateurs de compromission pour cette faille. Suzu Labs recommande de réutiliser ceux de la chaîne de juillet, puisque l’architecture interne n’a pas changé :

/var/lib/unit/conf.json

À chercher : des routes inattendues ajoutées à la configuration du serveur web interne.

extraweb_access.log

À chercher : des réponses HTTP 200 sur /api/login ou /api/logout qui ne correspondent à aucune connexion légitime.

ctrl-service.log

À chercher : des entrées de traversée de répertoire (chemins avec ../).

Journaux de vos contrôleurs de domaine

À chercher : des tentatives d’authentification venant de l’adresse IP de l’appareil SonicWall lui-même.

Et si vous n’avez pas de SonicWall ?

La leçon vaut pour tous les appareils « en bordure » (pare-feu, passerelles VPN, accès à distance) : on l’a vu avec FortiBleed chez Fortinet et les failles zero-day de Citrix NetScaler. Ces appareils sont visibles d’Internet, les pirates les ciblent souvent juste avant une fin de semaine, et un correctif ne remplace pas une vérification. Notre surveillance automatisée 24/7 avec intervention du technicien de garde aide à repérer les connexions anormales, et nos services de cybersécurité incluent la gestion des correctifs de vos appareils réseau.

Réservez votre Bilan cyber gratuit

Vous ne savez pas quels appareils de votre réseau sont exposés à Internet, ni s’ils sont à jour ? On en fait l’inventaire avec vous et on vous dit quoi corriger en premier.

👉 Réservez votre Bilan cyber gratuit

Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.

Sources

SC Media — SonicWall SSRF bug rated 10.0 exploited in SMA1000 Appliance Work Place (Oct 9, 2026) (en anglais)

Photo : Brett Sayles, Pexels (licence Pexels).