SonicWall SMA1000 : deux failles exploitées, correctif et réinstallation recommandés

En bref

• Le fait. Le 1er septembre 2026, SonicWall a publié un avis sur deux failles de ses boîtiers d'accès distant Secure Mobile Access (SMA) 1000, toutes deux activement exploitées selon l'éditeur. Le CERT-FR a émis l'alerte CERTFR-2026-ALE-009 le 2 septembre, puis l'a clôturée le 13 octobre 2026. Une clôture ne signifie pas la fin de la menace : seule la mise à jour protège. Source : alerte du CERT-FR.
• Êtes-vous concerné ? Si votre entreprise utilise un boîtier SonicWall SMA1000 (modèles 6210, 7210 ou 8200v) pour l'accès à distance de ses collaborateurs. Les autres gammes SonicWall ne sont pas citées par l'alerte.
• Quoi faire :
  1. faites vérifier par votre prestataire la version du boîtier et appliquez la version corrective si ce n'est pas déjà fait ;
  2. si le boîtier a fonctionné dans une version vulnérable, suivez les recommandations de l'éditeur : réinstallation, changement de tous les mots de passe et réinitialisation des codes à usage unique (TOTP) ;
  3. faites contrôler l'équipement avec les marqueurs de compromission fournis par le support SonicWall.
• Urgence : élevée. Le CERT-FR et l'éditeur signalent une exploitation active, et l'alerte précise que la mise à jour seule ne suffit pas.

Détail technique

Identifiants. CVE-2026-83548 : falsification de requêtes côté serveur (SSRF) sans authentification dans l'interface Work Place, critique. CVE-2026-83549 : injection de commandes dans la console d'administration (AMC), exploitable par un attaquant authentifié avec les droits administrateur. Le CERT-FR précise que l'éditeur n'indique pas si les deux failles peuvent être chaînées par un attaquant non authentifié. Avis CERT-FR associé : CERTFR-2026-AVI-1103.

Produits et versions.

• SonicWall SMA1000 (modèles 6210, 7210 et 8200v), branche 12.5 : versions affectées 12.5.x antérieures à 12.5.0-02952 ; version corrigée : 12.5.0-02952 ou ultérieure.
• SonicWall SMA1000 (modèles 6210, 7210 et 8200v), branche 12.4 : versions affectées antérieures à 12.4.3-03526 ; version corrigée : 12.4.3-03526 ou ultérieure.

KEV. Oui : les deux CVE ont été ajoutées au catalogue KEV de la CISA le 2 septembre 2026.

Exploitation active. Oui, selon SonicWall, repris par le CERT-FR et la CISA.

IOC publics. SonicWall fournit les marqueurs de compromission sur demande auprès de son support technique. Nous ne les recopions pas : reportez-vous à l'alerte du CERT-FR et au bulletin de l'éditeur.

Remédiation.

• Mettre à jour en 12.5.0-02952 ou 12.4.3-03526 (ou ultérieures), selon la branche.
• Selon l'éditeur, l'application des correctifs ne suffit pas : réinstaller le système, changer tous les mots de passe utilisateurs et administrateurs, réinitialiser les TOTP.
• Restreindre l'accès à la console d'administration aux seules adresses d'administration.