SonicWall SonicOS SSLVPN : contournement de SAML et de l'MFA possible (CVE-2026-19868)

Ce qui s'est passé

Le 6 novembre 2026, la CVE-2026-19868 a été publiée pour le composant SSLVPN de SonicWall SonicOS. SonicWall la suit sous la référence SNWLID-2026-0014. Son score de base CVSS est de 7,5.

La faille relève d'une authentification à un seul facteur. Un utilisateur disposant d'identifiants valides pour une méthode d'authentification alternative peut contourner les contrôles d'authentification SAML du SSLVPN. Si SAML est utilisé pour imposer l'authentification multifacteur (MFA), celle-ci peut également être contournée. En pratique, un mot de passe volé ou deviné pour une autre méthode de connexion peut suffire à ouvrir une session VPN qui aurait dû exiger SAML et un second facteur.

Le même jour, la CISA a ajouté la CVE-2026-19868 à son catalogue des vulnérabilités connues exploitées. La CISA ne fournit aucun détail sur les attaques. Elle demande aux organisations d'appliquer les mesures d'atténuation conformément aux instructions de SonicWall et de cesser d'utiliser le produit si aucune mesure d'atténuation n'est disponible.

Qui est concerné

• Les pare-feu SonicWall exécutant SonicOS avec SSLVPN activé, dans des configurations qui utilisent l'authentification SAML (souvent avec une MFA imposée via SAML) pour l'accès VPN.
• Le contournement nécessite des identifiants valides pour une méthode d'authentification alternative. Les configurations dans lesquelles d'autres méthodes de connexion que SAML peuvent s'authentifier sur le SSLVPN sont exposées.
• La vulnérabilité se situe dans le composant SSLVPN. D'après la description, les appareils qui n'utilisent pas SSLVPN ne sont pas exposés par cette faille.
• Les données dont nous disposons ne listent pas les versions de SonicOS concernées ni les versions corrigées. Consultez l'avis SonicWall SNWLID-2026-0014, lié ci-dessous, pour les versions exactes et les instructions du fournisseur.

Si vous gérez des pare-feu SonicWall pour des clients, vérifiez chaque appareil offrant un accès SSLVPN aux réseaux internes, aux serveurs ou aux interfaces d'administration.

Que faire maintenant

1. Listez tous les pare-feu SonicWall que vous gérez dont SSLVPN est activé et notez leur version de SonicOS.
2. Exportez une sauvegarde de la configuration de chaque appareil avant toute modification.
3. Ouvrez l'avis SonicWall SNWLID-2026-0014 et vérifiez si votre version de SonicOS est concernée. Appliquez ensuite le micrologiciel corrigé ou les mesures d'atténuation décrites par SonicWall. Prévoyez un redémarrage du pare-feu.
4. Tant que l'appareil n'est pas corrigé, limitez autant que possible l'accès SSLVPN, par exemple à des adresses IP sources connues. Si SSLVPN n'est pas strictement nécessaire, désactivez-le. Examinez les méthodes d'authentification autres que SAML qui peuvent encore se connecter au SSLVPN et supprimez celles qui ne sont pas requises.
5. Réinitialisez les mots de passe des comptes pouvant se connecter au SSLVPN par des méthodes autres que SAML, en particulier les comptes locaux et de service. Supprimez les comptes qui ne sont plus nécessaires.
6. Après la mise à jour, vérifiez que le SSLVPN fonctionne et que les connexions passent à nouveau par SAML et l'MFA comme prévu.

Comment vérifier si vous êtes concerné

• Comparez la version de SonicOS de chaque appareil avec les versions concernées indiquées dans l'avis SonicWall SNWLID-2026-0014.
• Vérifiez la configuration SSLVPN pour voir si SAML est utilisé et si d'autres méthodes d'authentification sont également acceptées.
• Examinez les journaux de connexion SSLVPN, au moins depuis le 6 novembre 2026 et idéalement sur une période plus longue. Recherchez les sessions qui n'ont pas utilisé SAML ou la MFA, les connexions depuis des adresses IP ou des pays inhabituels, et les connexions de comptes qui n'utilisent normalement pas le VPN.
• Si vous découvrez des sessions suspectes, vérifiez à quelles ressources du réseau interne ces sessions ont accédé. Considérez les identifiants concernés comme compromis et réinitialisez-les.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-19868
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog