SonicWall SonicOS : contournement de MFA SSL-VPN exploité dans des attaques, mise à jour du firmware nécessaire

Ce qui s'est passé

Le 6 novembre 2026, SonicWall a publié des mises à jour pour sept vulnérabilités de SonicOS, le système d'exploitation de ses pare-feu. L'une d'elles est un contournement de l'authentification dans le SSL-VPN, qui permet à des attaquants de passer outre l'authentification multifacteur (MFA). Selon le rapport, cette faille est déjà exploitée dans des attaques.

Un SSL-VPN est généralement accessible depuis Internet et donne accès au réseau interne situé derrière le pare-feu. Un contournement fonctionnel de la MFA supprime donc l'une des protections les plus importantes de l'accès distant à vos serveurs et systèmes internes.

Les données source ne détaillent pas les failles individuelles ni les versions du firmware corrigées. Consultez l'avis de SonicWall et le rapport mentionnés ci-dessous pour connaître les versions exactes contenant les correctifs.

Qui est concerné

Les administrateurs de pare-feu SonicWall fonctionnant sous SonicOS, en particulier lorsque le SSL-VPN est activé et accessible depuis Internet. Si vous gérez des équipements SonicWall pour vos clients, l'ensemble de ces équipements doit être vérifié. Les appareils qui n'ont pas reçu la mise à jour publiée le 6 novembre 2026 doivent être considérés comme à risque.

Que faire maintenant

1. Établissez la liste de tous les pare-feu SonicWall que vous exploitez, et notez la version actuelle de SonicOS ainsi que l'activation ou non du SSL-VPN.
2. Ouvrez l'avis de SonicWall et identifiez la version corrigée de SonicOS pour chaque modèle.
3. Exportez une sauvegarde de la configuration actuelle (export des paramètres) de chaque appareil avant la mise à jour.
4. Installez le firmware SonicOS corrigé et redémarrez l'appareil. Prévoyez une courte fenêtre de maintenance, car le redémarrage interrompt le trafic réseau et les connexions VPN.
5. Après le redémarrage, vérifiez que la nouvelle version est en service, que les connexions VPN fonctionnent et que la MFA est bien appliquée pour les connexions SSL-VPN.
6. Si vous ne pouvez pas mettre à jour immédiatement, réduisez l'exposition : limitez si possible l'accès SSL-VPN à des adresses IP connues, ou désactivez temporairement le SSL-VPN jusqu'à l'installation de la mise à jour.
7. La faille étant déjà exploitée, réinitialisez les mots de passe des utilisateurs SSL-VPN si vous constatez une activité suspecte, et mettez fin à toutes les sessions VPN actives après la mise à jour.

Comment vérifier si vous êtes concerné

• Comparez la version de SonicOS affichée dans le tableau de bord de l'appareil avec les versions corrigées indiquées dans l'avis de SonicWall.
• Examinez les journaux SSL-VPN et d'authentification à la recherche de connexions depuis des adresses IP ou des pays inconnus, de connexions à des heures inhabituelles et de connexions réussies sans étape MFA correspondante.
• Contrôlez la liste des utilisateurs locaux et des utilisateurs SSL-VPN pour repérer les comptes que vous n'avez pas créés, et examinez les modifications de configuration récentes.
• Vérifiez les serveurs internes accessibles via le VPN pour détecter des connexions inhabituelles ou des accès provenant de plages d'adresses VPN.
• Si vous constatez des signes d'accès non autorisé, traitez-le comme un incident de sécurité : isolez les systèmes concernés, changez tous les identifiants utilisés via le VPN et poursuivez l'investigation avant de revenir à un fonctionnement normal.

Sources

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/