SonicWall SMA1000 : deux zero-days exploités, comment détecter et prioriser

Le 14 juillet 2026, SonicWall a publié un avis pour deux vulnérabilités de ses appliances SMA série 1000. L'élément qui change tout : l'équipe de détection et réponse managées de Rapid7 avait déjà repéré une exploitation active et ciblée dans ses journaux clients dès le 9 juillet, plusieurs jours avant l'avis officiel. Ce sont donc des zero-days, exploités dans la nature, sur des équipements de bordure directement exposés à Internet. Les deux failles ont été ajoutées au catalogue des vulnérabilités activement exploitées de la CISA, ce qui les rend prioritaires par définition.

Pour toute organisation exposant un SMA1000, la question n'est pas de savoir s'il faut corriger, mais à quelle vitesse, et comment vérifier qu'aucune compromission n'a eu lieu avant le correctif.

Les deux vulnérabilités, et pourquoi elles se combinent

CVE-2026-15409 est une falsification de requête côté serveur (SSRF), notée CVSS 10.0. Son exploitation permet à un attaquant non authentifié d'ouvrir un tunnel via websocket vers des services accessibles uniquement en localhost sur l'appliance. C'est la technique T1190 (Exploit Public-Facing Application) combinée à T1572 (Protocol Tunneling). L'attaquant transforme l'équipement de bordure en relais vers ses propres services internes.

CVE-2026-15410 est une élévation de privilèges locale, référencée T1068. Elle permet à un attaquant ayant accès à un service interne écoutant sur le port 8188 en localhost d'exécuter des commandes système arbitraires en tant que root, via un flux de suppression de correctif (remove_hotfix) vulnérable à la traversée de chemin. Prises séparément, ces failles sont dangereuses. Enchaînées, elles offrent un chemin complet : le SSRF non authentifié ouvre l'accès au service localhost, que l'élévation de privilèges transforme en exécution de code root.

Selon Rapid7, les attaquants exploitent la première faille pour entrer, puis extraient les identifiants, les données de session et les graines de MFA TOTP de l'appliance, ce qui leur permet de conserver l'accès même après une réinitialisation des mots de passe, avant de pivoter dans le réseau interne via le compte de service de l'appliance.

Les versions correctives et les modèles concernés

SonicWall a livré des versions corrigées à appliquer sans délai. Les produits affectés couvrent les modèles SMA1000 6210, 7210 et 8200v. Corrigez vers les versions publiées par l'éditeur (branches 12.4.3 et 12.5.0) et considérez tout équipement non corrigé exposé à Internet comme potentiellement compromis jusqu'à preuve du contraire.

Les indicateurs de compromission à rechercher

Rapid7 fournit plusieurs indicateurs concrets. Dans les journaux d'accès, recherchez les requêtes GET impliquant le proxy websocket combinées à une demande de mise à niveau vers un service localhost, notamment le port RDP 3389, signe d'un tunnel ouvert vers le bureau à distance en localhost. Côté hôte, surveillez l'apparition de fichiers de base temporaires du type /tmp/temp.db, et l'utilisation de noms de poste évoquant des distributions offensives comme KALI dans les sessions. Le trafic d'exploitation observé provient d'un système autonome identifiable (ASN 206092), utile pour un blocage géographique ou par réputation d'IP.

Une détection Nuclei pour identifier les appliances vulnérables

Avant même l'analyse d'incident, la priorité est l'inventaire : quelles appliances de votre parc, ou de celui de vos clients si vous êtes prestataire, sont exposées et non corrigées. Un modèle Nuclei permet de repérer les interfaces SMA1000 accessibles et d'en extraire la version, pour croiser avec les versions vulnérables.

id: sonicwall-sma1000-exposure
info:
  name: SonicWall SMA1000 interface exposee
  author: threatclaw
  severity: info
  description: Repere une interface de gestion SMA1000 accessible et tente d en lire la version
  reference:
    - https://www.rapid7.com/blog/post/etr-rapid7-mdr-team-discovers-new-sonicwall-sma1000-zero-days-being-actively-exploited-cve-2026-15409-cve-2026-15410/
  tags: sonicwall,sma1000,exposure,kev
http:
  - method: GET
    path:
      - "{{BaseURL}}/"
      - "{{BaseURL}}/__api__/v1/logon"
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "SonicWall"
          - "SMA"
        condition: or
      - type: status
        status:
          - 200
          - 302

Ce modèle sert d'abord à la découverte : il liste les appliances exposées, que vous priorisez ensuite pour la correction. Il ne teste pas l'exploitation, ce qui est le comportement responsable pour un scan de surface.

La marche à suivre pour un prestataire ou une PME

Trois étapes s'imposent. Premièrement, recensez toutes les appliances SMA1000 exposées et vérifiez immédiatement leur version. Deuxièmement, si l'une n'était pas corrigée avant le 14 juillet, traitez-la comme compromise : recherchez les IOC ci-dessus, faites tourner les identifiants et les graines MFA stockées, et isolez l'équipement pendant l'investigation. Troisièmement, restreignez l'exposition de ces interfaces de gestion à des réseaux de confiance, car un équipement de bordure non filtré reste une cible de choix.

Détecter et prioriser une vulnérabilité activement exploitée demande des modèles de scan à jour, alignés sur le catalogue KEV. C'est ce que fournit le feed Nuclei ThreatClaw : des modèles de détection actualisés au rythme des divulgations, priorisés sur l'exploitation réelle, pour savoir en quelques minutes ce qui, dans votre surface exposée, exige une action immédiate.