SonicWall : contournement du SSL-VPN SAML, la CISA confirme l'exploitation

Le 6 novembre 2026, SonicWall publie l'avis SNWLID-2026-0014 et corrige sept failles de SonicOS, dont CVE-2026-19868, notée 7,1, qui permet d'écarter les contrôles SAML du SSL-VPN. La Cybersecurity and Infrastructure Security Agency (CISA) l'inscrit le même jour à son catalogue des vulnérabilités exploitées, avec une échéance au 20 novembre 2026 pour les agences civiles fédérales américaines.

L'éditeur ne publie ni décompte d'appareils ni date de première attaque. Il a examiné un signalement d'exploitation potentielle. La fiche de la CISA classe l'exploitation comme active.

Des identifiants déjà valides peuvent écarter le second facteur

CVE-2026-19868 relève du CWE-308 : un seul facteur là où le contrôle en prévoit davantage. Dans l'avis SNWLID-2026-0014, des identifiants valides pour une autre méthode d'authentification suffisent à passer outre les contrôles SAML du SSL-VPN, y compris le second facteur lorsque c'est SAML qui l'impose.

La faille ne touche ce service que si SAML est activé pour les ouvertures de session SSL-VPN. Le vecteur retenu par SonicWall est CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N : réseau, complexité élevée, privilège faible, portée changée, confidentialité haute, intégrité faible. Ryan Harris, de The Electronic Office, a signalé la faille.

La fiche du National Vulnerability Database, encore en cours d'analyse le 6 novembre 2026 (publication à 19 h 17 UTC), affiche un score secondaire de 7,5 qui retire ce prérequis de privilège. Le coordinateur CISA y indique, à 20 h 37 UTC, une exploitation active, non automatisable, à impact technique partiel.

SonicWall PSIRT has investigated a report indicating potential exploitation of this vulnerability.

Six autres failles, sans signalement d'attaque

SonicWall ne les signale pas comme exploitées, et la CISA ne les a pas ajoutées le 6 novembre 2026. Deux notes de 8,8 visent l'interface d'administration et exigent une action de l'utilisateur : CVE-2026-107155, une politique inter-domaines trop permissive (CWE-942), et CVE-2026-107154, une validation de session appuyée sur l'adresse IP (CWE-291). Un attaquant distant et non authentifié pourrait y mener des opérations non autorisées.

Trois débordements avant authentification sont décrits comme des dénis de service de l'application, pas comme une exécution de code. CVE-2026-82308, notée 7,5, vise le SSL-VPN. CVE-2026-77708 et CVE-2026-77709, notées 5,9, visent le client TACACS+. CVE-2026-19703, notée 5,2, concerne un hachage trop faible sur les appliances virtuelles et suppose un accès local déjà élevé.

Matei « Mal » Badanoiu et l'équipe Offensive Security Research, de Pentest-Tools.com, sont crédités des failles réseau et d'administration. Le Dr Gianpiero Costantino, de l'Agenzia per la Cybersicurezza Nazionale, l'agence nationale italienne de cybersécurité, est crédité du hachage faible.

Le correctif vise les pare-feu SonicOS Gen7 et Gen8. Il ne couvre pas les appliances SMA1000, dont la faille CVE-2026-102255 a déjà été exploitée, ni le Global Management System (GMS), laissé sans correctif pour deux autres failles.

Gen7 en 7.3.4-7013, Gen8 en 8.2.3-8015

En Gen7, tout build 7.3.3-7015 ou plus ancien est concerné : TZ du 270 au 670, variantes W citées dans l'avis et TZ 570P, NSa 2700 à 6700, NSsp 10700, 11700, 13700 et 15700, virtuels NSv 270, 470 et 870 (ESX, KVM, Hyper-V, AWS, Azure). Build corrigé : 7.3.4-7013 ou plus récent.

En Gen8, tout build 8.2.2-8015 ou plus ancien : TZ 80, TZ 280 à 680 avec les variantes W du 280 et du 380 seulement, NSa 2800 à 5800, virtuels NSv XS, S, M et L. Build corrigé : 8.2.3-8015 ou plus récent. Révision 1.0, publiée le 6 novembre 2026 à 10 h 40 UTC.

Échéance au 20 novembre, sans volume d'attaques

L'alerte de la CISA du 6 novembre 2026 n'ajoute que cette faille, nommée « SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability ». Le catalogue fixe l'échéance au 20 novembre 2026 pour les agences civiles de la branche exécutive fédérale, au titre de la directive BOD 26-04. L'usage dans une campagne de rançongiciel est inconnu, et le tri forensique n'est pas exigé. La directive ne s'impose qu'à ces agences. Aucune adresse, aucun groupe et aucun nombre d'appareils ne sont publiés.

Source

SonicWall, avis SNWLID-2026-0014, « SonicWall SonicOS Affected By Multiple Vulnerabilities », publié le 6 novembre 2026 à 10 h 40 UTC.

CISA, alerte du 6 novembre 2026, et fiche du catalogue pour CVE-2026-19868, ajoutée le 6 novembre 2026, échéance le 20 novembre 2026.

National Vulnerability Database, fiche CVE-2026-19868, publiée le 6 novembre 2026 à 19 h 17 UTC.

Lawrence Abrams, BleepingComputer, « SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks », 6 novembre 2026, 19 h heure de l'Est (7 novembre 2026, 0 h 00 UTC).