SonicWall SMA1000 : une faille de gravité maximale déjà ciblée par des attaquants, mettez à jour
Corrigée le 6 octobre, la faille CVE-2026-102255 des passerelles d'accès SonicWall SMA1000 fait déjà l'objet de tentatives d'exploitation. Plus de 400 appareils sont exposés sur Internet.
Encore une passerelle d’accès distant dans le viseur. SonicWall a corrigé le 6 octobre 2026 la faille CVE-2026-102255, de gravité maximale, dans ses appliances d’accès sécurisé SMA1000. Trois jours plus tard, des tentatives d’exploitation étaient déjà détectées.
La faille
Il s’agit d’une vulnérabilité de type SSRF (falsification de requête côté serveur) dans l’interface Appliance WorkPlace. Un attaquant distant et non authentifié peut forcer l’appareil à envoyer des requêtes vers ses propres services internes, et ainsi atteindre des fonctions normalement inaccessibles depuis l’extérieur.
Modèles concernés : SMA1000 6210, 7210 et 8200v. La gamme SMA 100 et le SSL-VPN des pare-feu SonicWall ne sont pas touchés.
Déjà dans le viseur
Les sociétés Previdian et Defused ont observé, dès le 8 octobre, des tentatives d’exploitation sur leurs pots de miel (de faux appareils servant d’appât), visant l’interface WorkPlace et un service de base de données interne. On ne sait pas encore si des attaques ont abouti.
Selon Shadowserver, plus de 400 appareils SMA1000 sont exposés sur Internet. Et l’historique n’est pas rassurant : d’après la CISA américaine, 13 des 19 failles SonicWall recensées comme exploitées ces quatre dernières années ont été utilisées par des groupes de rançongiciels.
Que faire
- Appliquer immédiatement le correctif de l’avis SonicWall SNWLID-2026-0017.
- Si possible, limiter l’accès à l’interface d’administration aux seules adresses IP de confiance.
- Vérifier les journaux d’accès à l’interface WorkPlace depuis début octobre.