Aller au contenu
KLYNLABS

SonicWall GMS : deux failles sans correctif, dont une lecture de fichiers sans authentification

Le CERT-FR confirme le 4 novembre que Global Management System 9.5.2 et les versions antérieures, en fin de vie, ne seront pas corrigés. La parade indiquée est la migration vers Network Security Manager.

Kelvyn3 min de lecture
Illustration d’un cadenas posé sur un réseau de câbles

Photo : Illustration générée par IA (Google Flow)

Le 4 novembre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1456 : deux failles touchent SonicWall Global Management System (GMS) 9.5.2 et les versions antérieures, en appliance virtuelle comme sous Windows, et l’éditeur ne publiera pas de correctif parce que le produit est en fin de vie.

L’avis s’appuie sur le bulletin SonicWall SNWLID-2026-0019 du 3 novembre 2026. Il retient deux risques : une atteinte à la confidentialité des données, et une injection SQL. La consigne du CERT-FR est de se reporter au bulletin de l’éditeur. L’INCIBE, le centre espagnol, qui cite le même bulletin, écrit que SonicWall ne propose pas non plus de contournement et recommande de migrer vers Network Security Manager (NSM).

Une lecture de fichiers notée 9,1, sans compte

CVE-2026-109593 a été publiée le 3 novembre 2026. Son texte dit qu’un attaquant non authentifié, disposant d’un accès réseau à GMS 9.5.2 ou antérieur, peut lire des fichiers internes et exposer des informations sensibles. Le score CVSS 3.1 associé est de 9,1, critique : vecteur réseau, complexité faible, aucun privilège, aucune interaction. La confidentialité et la disponibilité sont notées élevées, l’intégrité nulle.

Le coordinateur CISA, dans les données SSVC jointes à la fiche le 3 novembre à 17 h 06 UTC, classe l’exploitation à « aucune » à cette date, et juge la faille automatisable. « Aucune » décrit l’état connu ce jour-là, pas une garantie pour la suite. GMS sert à administrer des pare-feu : les fichiers internes peuvent contenir la configuration de ces appareils. Le CVE ne détaille pas lesquels.

Une injection SQL qui demande déjà un compte élevé

CVE-2026-109594, publiée le même jour, décrit une injection SQL après authentification. Dans certaines conditions, un attaquant déjà authentifié pourrait accéder aux informations de la base GMS ou les modifier. Le score CVSS 3.1 est de 6,8, gravité moyenne : réseau, complexité faible, privilèges élevés requis, aucune interaction, confidentialité élevée, intégrité nulle, disponibilité nulle, portée modifiée.

Le texte du CVE parle donc de modification, alors que le vecteur publié met l’impact sur l’intégrité à zéro. Les deux viennent de la même fiche. Tant que SonicWall n’a pas tranché, la description et le score ne disent pas la même chose sur la capacité à modifier la base. Le SSVC du 3 novembre, à 17 h 05 UTC, indique là aussi une exploitation « aucune », et une faille non automatisable.

Les deux failles ont été signalées par Matei Badanoiu et Andrei Lungu, de Pentest-Tools.com, selon l’avis de l’INCIBE du 4 novembre.

Qui est concerné

Seules les installations qui font encore tourner GMS 9.5.2 ou une version plus ancienne sont visées. Un pare-feu SonicWall géré autrement, ou déjà passé sous NSM, n’est pas dans le périmètre de l’avis. Pour celles qui restent, le CERT-FR ne donne pas de correctif à appliquer : la réduction du risque passe par le retrait du produit, ou par le couper du réseau si la migration n’est pas immédiate. Le bulletin ne décrit pas de règle de pare-feu précise. Exposer GMS sur Internet laisse CVE-2026-109593 atteignable sans compte.

Sources

Tags

Partager

Cet article peut servir à quelqu'un ?

Envoyez-le à un proche en un geste, ou partagez-le sur vos réseaux. Voici la carte qui s'affichera avec votre lien.

Aperçu de la carte de partage : SonicWall GMS : deux failles sans correctif, dont une lecture de fichiers sans authentification

Votre mot accompagne le lien. Modifiez-le si vous voulez.

À lire ensuite