Deux jours après la publication de son correctif, la faille CVE-2026-102255 des passerelles d’accès distant SonicWall SMA1000, notée 10 sur 10, fait l’objet de tentatives d’exploitation. Elle permet à un attaquant sans compte de détourner l’appareil pour lui faire émettre des requêtes à sa place. Les modèles 6210, 7210 et 8200v sont concernés ; les versions correctives 12.4.3-03670 et 12.5.0-03082 doivent être installées sans délai.
Une faille exploitable sans le moindre identifiant
Selon The Hacker News, la vulnérabilité obtient le score CVSS maximal de 10.0, et BleepingComputer la classe elle aussi au plus haut niveau de gravité. Il s’agit d’une faille de type SSRF (falsification de requêtes côté serveur) qui ne demande aucune authentification préalable. SonicWall, cité par BleepingComputer, explique qu’un attaquant distant pourrait amener l’équipement à envoyer des requêtes en son nom.
Concrètement, la passerelle devient un relais : depuis Internet, l’attaquant s’en sert pour dialoguer avec des services qui ne devraient être joignables que de l’intérieur, et atteindre ainsi des fonctions internes. D’après BleepingComputer, le défaut se situe dans l’interface WorkPlace de l’appareil. Le bulletin de l’éditeur porte la référence SNWLID-2026-0017.
Quels équipements sont concernés et quelles versions installer
BleepingComputer cite trois modèles touchés : les SMA1000 6210, 7210 et 8200v. Le média précise que la gamme SMA 100 et le VPN SSL intégré aux pare-feu SonicWall ne sont pas affectés.
Le correctif a été publié le 6 octobre 2026, selon The Hacker News, qui indique deux versions corrigées :
- 12.4.3-03670 (correctif de plateforme) pour la branche 12.4 ;
- 12.5.0-03082 (correctif de plateforme) pour la branche 12.5.
Ni l’un ni l’autre des deux articles ne détaille la liste exacte des versions vulnérables, et aucun ne mentionne de mesure de contournement : la mise à jour reste la seule parade documentée. Les administrateurs ont aussi intérêt à examiner les journaux de leur passerelle depuis le 6 octobre, à la recherche de requêtes inhabituelles visant des services internes.
Deux jours entre le correctif et les premières attaques
Les premiers signes d’exploitation ont été repérés le 8 octobre par les sociétés Defused Cyber et Previdian, rapporte The Hacker News. Ryan Dewhurst, fondateur de Previdian, a décrit à BleepingComputer les tentatives captées par ses leurres : des requêtes OPTIONS fabriquées pour joindre le service interne CouchDB sur le port 5984 de la machine, avec les identifiants « admin:admin ». Defused a confirmé observer ce trafic contre ses propres appareils-pièges.
The Hacker News fait état de 135 tentatives, provenant de deux adresses IP situées aux États-Unis. Previdian reconnaît ne pas savoir si ces essais auraient permis de compromettre de vrais systèmes. Au moment de ces publications, SonicWall n’avait pas mis à jour son bulletin pour signaler une exploitation active.
Ce délai très court illustre un mécanisme bien connu : un correctif publié indique aux attaquants où chercher. En comparant l’ancienne et la nouvelle version du logiciel, ils peuvent reconstituer la faille et viser les équipements qui n’ont pas encore été mis à jour. D’après BleepingComputer, la fondation Shadowserver suit plus de 400 boîtiers SMA1000 exposés sur Internet, sans que l’on sache combien sont déjà corrigés ou servent eux-mêmes de leurres.
Une cible récurrente depuis le début de l’année
Ce n’est pas la première alerte de 2026 pour cette gamme. The Hacker News rappelle que deux failles, CVE-2026-15409 (notée 10.0) et CVE-2026-15410 (notée 7.2), ont été exploitées avant tout correctif par un groupe suivi sous le nom UTA0533. Selon Rapid7, cité par le même média, les assaillants en ont profité pour dérober des identifiants, des bases de sessions actives et les secrets servant à générer les codes d’authentification à double facteur, avant de se déplacer dans les réseaux des victimes.
BleepingComputer ajoute qu’en septembre, SonicWall avait déjà averti d’attaques enchaînant deux autres failles, CVE-2026-83548 et CVE-2026-83549, et que la nouvelle vulnérabilité touche la même interface WorkPlace, par une technique différente. Le média note enfin que l’agence américaine CISA a ajouté 19 vulnérabilités SonicWall à son catalogue des failles exploitées en quatre ans, dont 13 liées à des groupes de rançongiciels. Pour les entreprises qui confient leurs accès distants à ces boîtiers, la vitesse d’application des correctifs devient un enjeu de sécurité de premier ordre.
Questions fréquentes
Mon pare-feu SonicWall est-il concerné ?
Non, selon BleepingComputer : le VPN SSL des pare-feu SonicWall et la gamme SMA 100 ne sont pas touchés. Seules les passerelles SMA1000 6210, 7210 et 8200v sont citées.
Les tentatives d’attaque ont-elles réussi ?
On ne le sait pas. Les 135 essais recensés ont été captés par des leurres, et Previdian indique ne pas pouvoir dire s’ils auraient abouti sur de vrais équipements. Aucune victime n’a été rendue publique dans les articles consultés.
Que faire après avoir installé le correctif ?
Si la passerelle est restée exposée sans mise à jour après le 6 octobre, une vérification des journaux s’impose. Vu les campagnes précédentes, qui visaient identifiants et secrets d’authentification, renouveler les comptes d’administration constitue une précaution raisonnable en cas de doute.
Sources
- Max severity SonicWall SMA1000 flaw now exploited in attacks — BleepingComputer, 2026-10-09
- Critical SonicWall SMA 1000 Flaw Targeted in 135 Exploitation Attempts After Patch — The Hacker News, 2026-10-12