# SonicWall GMS : deux failles sans correctif, dont une lecture de fichiers sans authentification

> Le CERT-FR confirme le 4 novembre que Global Management System 9.5.2 et les versions antérieures, en fin de vie, ne seront pas corrigés. La parade indiquée est la migration vers Network Security Manager.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/sonicwall-gms-fin-de-vie-cve-2026-109593-sans-correctif
- Auteur : Kelvyn
- Publié le : 5 novembre 2026 (2026-11-05T23:09:27.515Z)
- Rubrique : Cybersécurité
- Sujets : SonicWall, Pare-feu, CVE-2026-109593, Fin de vie
- Langue : français

Le 4 novembre 2026, le CERT-FR a publié l’avis CERTFR-2026-AVI-1456 : deux failles touchent SonicWall Global Management System (GMS) 9.5.2 et les versions antérieures, en appliance virtuelle comme sous Windows, et l’éditeur ne publiera pas de correctif parce que le produit est en fin de vie.

L’avis s’appuie sur le bulletin SonicWall SNWLID-2026-0019 du 3 novembre 2026. Il retient deux risques : une atteinte à la confidentialité des données, et une injection SQL. La consigne du CERT-FR est de se reporter au bulletin de l’éditeur. L’INCIBE, le centre espagnol, qui cite le même bulletin, écrit que SonicWall ne propose pas non plus de contournement et recommande de migrer vers Network Security Manager (NSM).

## Une lecture de fichiers notée 9,1, sans compte

CVE-2026-109593 a été publiée le 3 novembre 2026. Son texte dit qu’un attaquant non authentifié, disposant d’un accès réseau à GMS 9.5.2 ou antérieur, peut lire des fichiers internes et exposer des informations sensibles. Le score CVSS 3.1 associé est de 9,1, critique : vecteur réseau, complexité faible, aucun privilège, aucune interaction. La confidentialité et la disponibilité sont notées élevées, l’intégrité nulle.

Le coordinateur CISA, dans les données SSVC jointes à la fiche le 3 novembre à 17 h 06 UTC, classe l’exploitation à « aucune » à cette date, et juge la faille automatisable. « Aucune » décrit l’état connu ce jour-là, pas une garantie pour la suite. GMS sert à administrer des pare-feu : les fichiers internes peuvent contenir la configuration de ces appareils. Le CVE ne détaille pas lesquels.

## Une injection SQL qui demande déjà un compte élevé

CVE-2026-109594, publiée le même jour, décrit une injection SQL après authentification. Dans certaines conditions, un attaquant déjà authentifié pourrait accéder aux informations de la base GMS ou les modifier. Le score CVSS 3.1 est de 6,8, gravité moyenne : réseau, complexité faible, privilèges élevés requis, aucune interaction, confidentialité élevée, intégrité nulle, disponibilité nulle, portée modifiée.

Le texte du CVE parle donc de modification, alors que le vecteur publié met l’impact sur l’intégrité à zéro. Les deux viennent de la même fiche. Tant que SonicWall n’a pas tranché, la description et le score ne disent pas la même chose sur la capacité à modifier la base. Le SSVC du 3 novembre, à 17 h 05 UTC, indique là aussi une exploitation « aucune », et une faille non automatisable.

Les deux failles ont été signalées par Matei Badanoiu et Andrei Lungu, de Pentest-Tools.com, selon l’avis de l’INCIBE du 4 novembre.

> **Pas le même produit que le SMA1000. **Les failles déjà exploitées du pare-feu SMA1000, dont [CVE-2026-102255](https://klynlabs.eu/articles/sonicwall-sma1000-cve-2026-102255-faille-ssrf-exploitee), ont reçu un correctif. GMS, l’outil qui pilote des flottes de pare-feu, n’en aura pas. Mettre à jour les firewalls ne ferme pas ces deux CVE.

## Qui est concerné

Seules les installations qui font encore tourner GMS 9.5.2 ou une version plus ancienne sont visées. Un pare-feu SonicWall géré autrement, ou déjà passé sous NSM, n’est pas dans le périmètre de l’avis. Pour celles qui restent, le CERT-FR ne donne pas de correctif à appliquer : la réduction du risque passe par le retrait du produit, ou par le couper du réseau si la migration n’est pas immédiate. Le bulletin ne décrit pas de règle de pare-feu précise. Exposer GMS sur Internet laisse CVE-2026-109593 atteignable sans compte.

## À retenir

- Le 4 novembre 2026, le CERT-FR confirme que GMS 9.5.2 et antérieur ne sera pas corrigé : le produit est en fin de vie.
- CVE-2026-109593, notée 9,1, permet de lire des fichiers internes sans authentification. Le SSVC du 3 novembre ne recensait pas d’exploitation.
- CVE-2026-109594, notée 6,8, est une injection SQL qui exige un compte à privilèges élevés. Le texte et le score divergent sur la modification des données.
- L’INCIBE, citant SonicWall, indique la migration vers Network Security Manager, sans contournement temporaire.

## Sources

- [CERTFR-2026-AVI-1456](https://cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1456/), CERT-FR, 4 novembre 2026.
- [Bulletin SNWLID-2026-0019](https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0019), SonicWall, 3 novembre 2026, cité par le CERT-FR.
- [CVE-2026-109593](https://www.cve.org/CVERecord?id=CVE-2026-109593) et [CVE-2026-109594](https://www.cve.org/CVERecord?id=CVE-2026-109594), fiches CVE publiées le 3 novembre 2026.
- [Avis INCIBE-2026-833](https://www.incibe.es/incibe-cert/alerta-temprana/avisos/multiples-vulnerabilidades-en-gms-de-sonicwall), 4 novembre 2026.
- [SonicWall SMA1000, CVE-2026-102255](https://klynlabs.eu/articles/sonicwall-sma1000-cve-2026-102255-faille-ssrf-exploitee), KLYNLABS, sur un autre produit, lui, corrigé.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/sonicwall-gms-fin-de-vie-cve-2026-109593-sans-correctif