SonicWall : une faille du VPN SSL exploitée pour contourner la double authentification

Le pare-feu, c’est souvent la seule porte officielle par laquelle l’intégrateur, le mainteneur ou le télésurveilleur entre sur un site pour atteindre la supervision vidéo, la GTB ou le contrôle d’accès. Alors quand SonicWall confirme qu’une faille de son VPN SSL est exploitée, et qu’elle permet de passer à côté de la double authentification, je préfère vous en parler sans attendre lundi prochain 🙂.

Ce qui a été publié

Le 6 novembre 2026, SonicWall a publié l’avis SNWLID-2026-0014 pour ses pare-feu Gen 7 et Gen 8, physiques et virtuels (NSv). Il regroupe plusieurs vulnérabilités de SonicOS, dont une seule est confirmée comme exploitée : la CVE-2026-19868. Le jour même, la CISA l’a inscrite à son catalogue des failles exploitées (KEV) et le Centre canadien pour la cybersécurité l’a relayée (AV26-1133).

Le principe est simple et un peu vexant : quand le VPN SSL est configuré pour imposer une connexion SAML (et donc le MFA porté par votre fournisseur d’identité), la passerelle n’applique pas cette règle aux comptes qui peuvent aussi s’authentifier par une autre méthode. Avec un identifiant et un mot de passe valides pour un tel compte, l’attaquant ouvre une session VPN sans passer par le SAML. Il faut donc des identifiants valides, mais c’est précisément le cas du mot de passe volé que le MFA devait bloquer.

Plateforme	Versions touchées	Version corrigée
Gen 7 (physique et NSv)	SonicOS 7.3.3-7015 et antérieures	7.3.4-7013 ou ultérieure
Gen 8 (physique et NSv)	SonicOS 8.2.2-8015 et antérieures	8.2.3-8015
Gen 6 et plus anciens	Fin de support	Aucune mise à jour : remplacement recommandé par SonicWall

Le même avis corrige d’autres failles, sans exploitation connue à ce jour : deux faiblesses de l’interface d’administration notées 8,8, un débordement de mémoire avant authentification dans le service VPN SSL, deux dans le client TACACS+ et un hachage de mots de passe trop faible sur les appliances virtuelles. SonicWall n’annonce aucun contournement : la mise à jour est la seule vraie réponse.

Pourquoi ça concerne la sûreté

Sur beaucoup de sites tertiaires ou multisites, le VPN SSL du pare-feu sert à tout : télétravail, mais aussi accès des prestataires au serveur de vidéoprotection, à la supervision GTB ou au logiciel de contrôle d’accès. Et c’est là que le bât blesse : les comptes « prestataires » sont souvent des comptes locaux du pare-feu, créés à la mise en service, que l’on a gardés « au cas où » à côté du SAML. Ce sont précisément les comptes qu’exploite cette faille. Une fois dans le VPN, si le réseau n’est pas segmenté, l’attaquant voit les caméras, les NVR et les automates comme s’il était dans le local technique.

Mon plan d’action

• Vérifiez la version : passez en 7.3.4-7013 ou plus (Gen 7) ou en 8.2.3-8015 (Gen 8). Sauvegardez la configuration avant, et sur une NSv assurez-vous de démarrer sur l’image corrigée.
• Faites le ménage dans les comptes : listez ceux qui peuvent se connecter au VPN autrement que par SAML. En attendant la mise à jour, retirez-leur l’accès VPN SSL ou restreignez-le à des adresses sources connues.
• Relisez les journaux : cherchez des connexions VPN réussies sans SAML pour des comptes censés passer par le MFA. Au moindre doute, changez les mots de passe concernés.
• Cloisonnez : un prestataire vidéo n’a rien à faire sur le VLAN GTB, et inversement. Une règle de filtrage par profil d’accès limite les dégâts si un compte tombe.
• Et les Gen 6 ? Sans mise à jour, il faut planifier leur remplacement.

Mon avis

Ce qui me fait tiquer, ce n’est pas tant la faille que le schéma qu’elle révèle : on active le MFA, on se croit protégé, et on laisse traîner un chemin d’authentification « de secours » à côté. Le MFA ne vaut que s’il est imposé à tous les comptes, sans exception. Côté positif, SonicWall publie des versions claires et la CISA a réagi le jour même. Mais avec plusieurs vagues de failles VPN SSL chez différents constructeurs cette année, je continue de penser qu’un accès de maintenance aux systèmes de sûreté mérite son propre chemin : bastion ou passerelle d’accès distant dédiée, comptes nominatifs, sessions tracées et ouvertes à la demande.

Sources

• SonicWall – SonicOS 7.3.4 and 8.2.3 Security Advisory, Gen 7 and Gen 8 Firewalls (mis à jour le 06/11/2026)
• Centre canadien pour la cybersécurité – Bulletin de sécurité SonicWall AV26-1133 (06/11/2026)
• Ostorlab – SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868)
• WindowsForum – SonicOS SSL-VPN SAML Bypass on Gen 7 and Gen 8 Firewalls (06/11/2026)