Faille SSL-VPN SonicWall : le MFA peut être contourné
La CISA signale l’exploitation d’une faille de SonicOS qui peut contourner les connexions SAML et le MFA du VPN. Qui est concerné et que faire cette semaine.
Si le pare-feu de votre bureau est un SonicWall et que vos équipes s’y connectent par SSL-VPN, ce sujet ne peut pas attendre. Le 6 novembre 2026, SonicWall a publié des correctifs pour sept vulnérabilités de SonicOS et, le même jour, l’agence américaine de cybersécurité (CISA) a inscrit l’une d’elles, CVE-2026-19868, à son catalogue des vulnérabilités exploitées. Cette inscription signifie que la CISA dispose de preuves d’attaques réelles. Les agences fédérales ont jusqu’au 20 novembre pour corriger. Cette date ne s’impose pas à votre entreprise, mais c’est une limite raisonnable.
Ce qui s’est passé
D’après BleepingComputer, la faille permet à un attaquant possédant des identifiants valides pour une autre méthode de connexion de contourner l’authentification SAML du SSL-VPN, et potentiellement le contrôle multifacteur imposé par SAML. Elle est notée 7,1 sur 10 et ne concerne que les services SSL-VPN configurés avec des connexions SAML. SonicWall reste plus prudent : l’éditeur indique avoir enquêté sur un signalement d’exploitation possible et n’a pas donné de détails sur les attaques.
Concrètement, un mot de passe VPN volé ou ancien pourrait suffire, alors même que vous pensiez chaque connexion protégée par un code sur téléphone. C’est pourquoi cette note moyenne mérite votre attention. Beaucoup de petites entreprises ont ajouté l’authentification unique et le MFA à leur VPN précisément pour qu’un mot de passe divulgué ne suffise pas.
La même mise à jour corrige six autres problèmes, dont deux failles de l’interface d’administration notées 8,8 qui ne nécessitent aucune connexion, ainsi que des dépassements de tampon dans les services SSL-VPN et TACACS+ qui pourraient mettre ces services hors ligne.
Êtes-vous concerné ?
La notice de SonicWall liste ces versions, pour les pare-feu physiques comme virtuels :
- Gen 7 : SonicOS 7.3.3-7015 et antérieures sont touchées. Passez à 7.3.4-7013 ou ultérieure. La version 7.3.4-7015 est sortie le 5 novembre.
- Gen 8 : SonicOS 8.2.2-8015 et antérieures sont touchées. Passez à 8.2.3-8015.
- Gen 6 et plus anciens : ces modèles ne sont plus pris en charge et ne reçoivent plus de firmware. SonicWall conseille de les remplacer.
SonicWall précise qu’il n’existe aucun contournement : la seule parade est la mise à jour.
Ce que votre entreprise doit faire cette semaine
- Identifiez votre matériel. Notez le modèle du pare-feu, la version de SonicOS et si le SSL-VPN utilise SAML. Si un prestataire gère votre pare-feu, posez-lui la question et demandez une réponse écrite.
- Exportez la configuration, puis mettez à jour. Une mise à jour du firmware redémarre le pare-feu et coupe brièvement internet et le VPN. Choisissez un moment calme et prévoyez quelqu’un capable d’intervenir si l’appareil ne redémarre pas correctement.
- Faites le ménage dans les comptes VPN. Supprimez ceux des anciens employés et prestataires, ainsi que les comptes locaux inutilisés. Changez les mots de passe de ceux que vous gardez, surtout s’ils servent ailleurs.
- Consultez les journaux. Cherchez des connexions à des heures inhabituelles, depuis des pays inattendus ou avec des comptes censés être inactifs. Conservez tout élément suspect avant de modifier quoi que ce soit.
- Retirez l’interface d’administration d’internet. Avec deux failles sérieuses à cet endroit, limitez l’administration du pare-feu au réseau interne ou à une courte liste d’adresses de confiance.
La mise à jour ferme la brèche, mais elle n’expulse pas un intrus déjà entré. Si les journaux semblent anormaux, traitez la situation comme un incident possible et non comme un simple entretien.
La leçon à retenir
Le pare-feu est l’appareil que toutes les entreprises croient sûr et qu’elles mettent rarement à jour. Inscrivez-le au même calendrier que vos ordinateurs, avec une personne responsable. Notre service de gestion des correctifs couvre cette routine, et celui d’installation et gestion de réseaux inclut les pare-feu et les accès VPN.
Vous ne savez pas quel firmware vous utilisez, ou si vos journaux VPN sont normaux ? Appelez le (213) 986-4855 ou consultez notre page cybersécurité.