SonicWall corrige une faille SonicOS exploitée qui affaiblit les connexions VPN SAML

SonicWall a averti ses clients que la faille, suivie sous la référence CVE-2026-19868 et notée 7,1 selon le CVSS, pourrait avoir été exploitée dans des attaques. Elle fait partie des sept vulnérabilités décrites dans un avis publié le 6 novembre. Selon le fournisseur, le SSL VPN n’est exposé que si la connexion par SAML est activée. Une exploitation réussie peut également contourner l’authentification multifacteur (MFA) imposée par SAML. La CISA a ajouté la faille à son catalogue des vulnérabilités connues exploitées le même jour et fixé au 20 novembre la date limite pour que les agences fédérales y remédient, en application de la Binding Operational Directive 26-04.

Les pare-feux concernés sont les modèles Gen7 TZ, NSa, NSsp et NSv exécutant SonicOS 7.3.3-7015 ou une version antérieure, ainsi que les modèles Gen8 TZ, NSa et NSv exécutant SonicOS 8.2.2-8015 ou une version antérieure. Les versions SonicOS 7.3.4-7013 et 8.2.3-8015 corrigent le problème, et il n’existe aucun contournement. Ni SonicWall ni la CISA n’ont communiqué de détails sur les attaques présumées, et il n’est pas clair si la faille a été exploitée en tant que zero-day. L’avis de SonicWall ne signale pas les six autres failles comme exploitées.

Pourquoi c’est important Les organisations qui utilisent une connexion par SAML sur le SSL VPN de SonicOS devraient vérifier si leurs pare-feux figurent parmi les versions concernées et les mettre à jour vers les versions corrigées, car aucun contournement n’est disponible. La faille pouvant contourner l’authentification MFA imposée par SAML, les équipes de sécurité devraient également examiner les journaux d’accès VPN à la recherche de connexions ne suivant pas le parcours d’authentification attendu. Les enquêteurs doivent garder à l’esprit que le fournisseur et la CISA n’ont pas décrit les attaques présumées, si bien que l’ampleur d’une éventuelle exploitation reste inconnue.