SonicWall a corrigé le 6 novembre 2026 une faille de son VPN SSL, référencée CVE-2026-19868, qui permet de contourner l’authentification SAML et donc le second facteur qu’elle impose. L’agence américaine CISA l’a aussitôt inscrite à son catalogue des vulnérabilités exploitées. Pour les entreprises qui protègent l’accès distant de leurs salariés avec un pare-feu SonicWall, la mise à jour est la seule parade proposée.
Ce que permet la faille
Selon BleepingComputer, un attaquant qui possède des identifiants valides pour une autre méthode d’authentification peut passer outre les contrôles SAML, y compris l’authentification multifacteur qui leur est associée. La vulnérabilité ne concerne que les services VPN SSL de SonicOS configurés pour utiliser SAML. Elle a été signalée par Ryan Harris, de la société The Electronic Office.
Sa note de gravité est de 7,1 sur 10 : elle n’est donc pas classée critique. Mais ce chiffre trompe sur le risque réel. Le MFA est précisément la barrière qui doit tenir quand un mot de passe a fuité. IT-Connect avance l’hypothèse, non confirmée par l’éditeur, qu’un mot de passe valable pour un compte local, LDAP ou RADIUS suffirait à ouvrir une session VPN sans second facteur. Or les identifiants volés circulent en masse sur les marchés criminels.
Une exploitation déjà constatée
SonicWall indique avoir enquêté sur un signalement d’exploitation potentielle, sans donner de détails. L’inscription au catalogue KEV de la CISA vaut confirmation d’attaques réelles, et l’agence a fixé aux administrations fédérales civiles américaines une échéance au 20 novembre 2026 pour se mettre en conformité, d’après BleepingComputer. Ni le nombre de boîtiers exposés ni l’identité des attaquants n’ont été rendus publics.
Le contexte invite à la prudence. IT-Connect rappelle qu’une précédente faille du VPN SSL de la marque, la CVE-2024-40766, avait été exploitée par les groupes de rançongiciel Fog et Akira. Les équipements d’accès distant restent une porte d’entrée privilégiée pour ce type d’opération.
Les versions à installer
Le bulletin SNWLID-2026-0014 vise deux générations de pare-feu, en boîtier physique comme en appliance virtuelle NSv :
- SonicOS Gen7 (TZ, NSa, NSsp, NSv) : vulnérable jusqu’à la 7.3.3-7015, corrigé en 7.3.4-7013 ;
- SonicOS Gen8 (TZ, NSa, NSv) : vulnérable jusqu’à la 8.2.2-8015, corrigé en 8.2.3-8015.
SonicWall précise qu’aucune solution de contournement n’existe. Le même bulletin corrige six autres vulnérabilités, dont deux failles de l’interface d’administration notées 8,8, un dépassement de tampon avant authentification dans le VPN SSL et une faiblesse du hachage des mots de passe sur les appliances virtuelles.
Ce que doivent faire les PME
Première étape : vérifier si SAML est activé pour le VPN SSL, puisque c’est la condition d’exposition. Si c’est le cas, la mise à jour devient prioritaire. Il est ensuite utile de revoir les comptes locaux, LDAP ou RADIUS qui peuvent encore se connecter au VPN, et d’examiner les journaux de connexion récents à la recherche de sessions ouvertes sans passage par le fournisseur d’identité. Pour les petites structures dont le pare-feu est géré par un prestataire, la question doit lui être posée sans attendre.
Autre réflexe utile : surveiller les prochaines annonces de SonicWall. L’éditeur n’a pas détaillé la technique employée par les attaquants, et des précisions pourraient modifier les priorités, par exemple si d’autres configurations que SAML se révélaient touchées. Les équipes qui ne peuvent pas mettre à jour immédiatement doivent au minimum renforcer la surveillance des connexions VPN.
Une limite demeure : faute de détails techniques publiés, on ignore depuis quand la faille est exploitée. Une mise à jour ferme la porte, mais ne dit pas si quelqu’un est déjà entré.
Questions fréquentes
Mon pare-feu SonicWall est-il concerné si je n’utilise pas SAML ?
Selon SonicWall, l’exposition à la CVE-2026-19868 suppose que l’authentification SAML soit activée pour le VPN SSL. La mise à jour reste conseillée, car le bulletin corrige six autres failles.
Existe-t-il une solution provisoire ?
Non. L’éditeur indique qu’aucun contournement n’est disponible : seule l’installation des versions 7.3.4-7013 ou 8.2.3-8015 corrige le problème.
Que signifie l’inscription au catalogue KEV ?
La CISA n’y ajoute que des failles dont l’exploitation est avérée. Pour une entreprise, c’est un signal fort qu’il faut traiter la vulnérabilité en urgence.
Sources
- SonicWall : une faille dans le VPN SSL permet de contourner le MFA et elle est exploitée — IT-Connect, 2026-11-09
- SonicWall warns of new SSL VPN MFA bypass flaw exploited in attacks — BleepingComputer, 2026-11-06
- Known Exploited Vulnerabilities Catalog — CISA, 2026-11-06