SonicWall : une faille dans le VPN SSL permet de contourner le MFA et elle est exploitée

Vous avez relié le VPN SSL de votre firewall SonicWall à un fournisseur d'identité SAML pour imposer le MFA à chaque connexion ? Une faille de sécurité exploitée dans des attaques peut permettre de contourner cette protection. Voici ce qu'il faut savoir sur cette vulnérabilité.

Le 6 novembre 2026, SonicWall a publié un nouveau bulletin de sécurité pour les firewalls sous SonicOS. Il corrige sept vulnérabilités, mais il y a en une qui doit attirer votre attention en priorité : la CVE-2026-19868, qui touche le service VPN SSL. D'après l'éditeur, un utilisateur disposant d'identifiants valides pour une autre méthode d'authentification pourrait contourner les contrôles d'authentification SAML. Et potentiellement le MFA imposé par SAML.

Sur le papier, elle a un score CVSS de 7,1 sur 10, ce qui n'est pas non plus énorme : elle n'est pas considérée comme critique. Et pourtant, elle est à prendre au sérieux : "Le PSIRT de SonicWall a enquêté sur un signalement indiquant une exploitation potentielle de cette vulnérabilité. Il est vivement recommandé aux clients de passer à la dernière version dès que possible afin de limiter les risques associés.", peut-on lire dans le bulletin. Cette faille de sécurité zero-day serait donc déjà exploitée...

C'est vraiment du sérieux, car l'agence CISA, de son côté, a ajouté la CVE-2026-19868 à son catalogue KEV le jour même, ce qui confirme une exploitation active.

Le MFA contourné avec un simple mot de passe ?

SonicWall affirme que cette vulnérabilité concerne uniquement le VPN SSL lorsque SAML est activé pour les connexions VPN. Par exemple, si l'entreprise a branché son firewall sur Microsoft Entra ID, Okta ou un autre fournisseur d'identité pour imposer le MFA, elles entrent potentiellement dans ce périmètre (SonicWall ne cite aucun fournisseur d'identité en particulier).

Le bulletin ne détaille pas la façon dont cette faille est exploitable. Mais, ce même bulletin de sécurité indique que l'attaque s'effectue à distance et qu'elle nécessite un compte disposant de faibles privilèges (la CISA estime de son côté qu'aucun privilège n'est requis).

On peut donc supposer qu'un attaquant en possession d'un mot de passe valide pour une autre méthode d'authentification acceptée par le firewall (base locale, LDAP ou RADIUS, par exemple) parviendrait à ouvrir une session VPN sans passer par le fournisseur d'identité. Et donc sans second facteur.

Quelles versions sont concernées et que faire ?

Les firewalls Gen7 et Gen8 sont concernés, qu'il s'agisse de boîtiers physiques ou d'appliances virtuelles NSv :

• SonicOS Gen7 : modèles TZ, NSa, NSsp et NSv en version 7.3.3-7015 et antérieures. Le correctif est disponible à partir de la version 7.3.4-7013.

• SonicOS Gen8 : modèles TZ, NSa et NSv en version 8.2.2-8015 et antérieures. Le correctif est disponible à partir de la version 8.2.3-8015.

Aucune solution de contournement n'existe d'après SonicWall.

Comme je l'indiquais précédemment, cette mise à jour corrige d'autres vulnérabilités. Voici les six autres vulnérabilités patchées par cette version :

• Interface d'administration : les CVE-2026-107154 et CVE-2026-107155 (score de 8,8) pourraient permettre à un attaquant non authentifié d'effectuer des opérations non autorisées, dans certaines conditions.

• Déni de service : la CVE-2026-82308 (score de 7,5) est un dépassement de tampon pré-authentification dans le VPN SSL. Les CVE-2026-77708 et CVE-2026-77709 (score de 5,9) touchent le client d'authentification TACACS+.

• Appliances virtuelles : la CVE-2026-19703 (score de 5,2) concerne un hash de mot de passe trop faible, exploitable par un attaquant disposant déjà d'un accès local.

Ce n'est pas la première fois que le VPN SSL de SonicWall est affecté par une faille de sécurité exploitée par les cybercriminels. En 2024, la faille CVE-2024-40766 avait fait le bonheur des cybercriminels, en particulier ceux des gangs de ransomware Fog et Akira. La semaine dernière encore, je vous parlais de deux failles dans SonicWall GMS, dont une critique, qui ne seront jamais corrigées.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.