Deux failles enchaînées, un accès root complet, des identifiants LDAP capturés en clair. Le tout remontant au 22 juin, trois semaines avant que SonicWall ne publie quoi que ce soit. L'histoire d'une intrusion discrète et d'une alerte rouge qui arrive en retard.
Il y a une catégorie d'équipements réseau qui a le don d'attirer les pirates comme le miel attire les mouches : les appliances de périmètre, ces boîtiers censés filtrer, contrôler et sécuriser les accès au réseau de l'entreprise. VPN concentrateurs, pare-feu, passerelles SSL, ils sont exposés par définition sur l'internet, ils centralisent les identifiants de milliers d'utilisateurs, et ils sont suffisamment complexes pour abriter des failles que personne n'a encore découvertes. SonicWall en fait la douloureuse expérience depuis quelques semaines avec ses appliances SMA 1000, des passerelles d'accès distant destinées aux moyennes et grandes entreprises, aux multinationales et aux administrations.
Le 14 juillet, l'éditeur américain a publié un avis de sécurité concernant deux vulnérabilités critiques : CVE-2026-15409 (CVSS 10.0, le maximum de l'échelle) et CVE-2026-15410 (CVSS 7.2). La CISA américaine les a ajoutées le même jour à son catalogue KEV des vulnérabilités activement exploitées. En France, le CERT-FR a publié l'alerte CERTFR-2026-ALE-006 le lendemain, classifiée niveau maximum, recommandant l'application immédiate des correctifs sur les modèles SMA 6210, 7210 et 8200v. Ce qui n'a pas encore été dit dans la plupart des résumés, c'est que l'exploitation était déjà bien entamée au moment de ces annonces.
Vingt-deux juin : quand les pirates avaient déjà trois semaines d'avance
La société de cybersécurité Volexity, dont les chercheurs figurent parmi ceux crédités par SonicWall pour la découverte des failles, a publié une analyse détaillée de l'incident. Rapid7, de son côté, avait repéré l'exploitation active de ces boîtiers avant même la divulgation officielle. L'acteur qu'elle suit sous le nom UTA0533 avait commencé à opérer sur les systèmes d'une organisation non identifiée dès le 22 juin, soit vingt-deux jours avant la divulgation publique. Deux boîtiers SMA 1000 appartenant à cette organisation ont été compromis avec un tradecraft qui mérite d'être décrit, ne serait-ce que pour expliquer pourquoi « installer le patch » n'est pas toujours suffisant après coup.
Sur le premier appareil, UTA0533 a déposé le 22 juin un binaire nommé /usr/bin/xzfind : un exécutable ELF baptisé ROOTRUN, configuré en setuid pour permettre à n'importe quel processus non privilégié d'exécuter des commandes en tant que root. Un deuxième fichier, KNUCKLEBALL, contient deux archives JAR embarquées injectées dans un processus légitime de SonicWall. L'une est Suo5, un proxy HTTP open source. L'autre est ORANGETAIL, un web shell Java sur mesure similaire à Behinder, accessible depuis l'extérieur via deux URI camouflées dans l'interface Workplace de l'appliance. Les attaquants ont ensuite modifié le script de démarrage /etc/init.d/workplace pour assurer la persistance, et ajusté la configuration NGINX Unit pour router les requêtes vers ces deux backdoors.
Sur le second appareil, moins de traces car un redémarrage le 2 juillet a effacé les artefacts en mémoire. Mais les attaquants avaient eu le temps de lancer tcpdump pour capturer le trafic LDAP non chiffré en transit sur l'appliance, récoltant au passage les noms d'utilisateurs et mots de passe de l'annuaire Active Directory. La chaîne d'exploitation elle-même repose sur CVE-2026-15409, une faille de type SSRF dans l'interface Workplace : en envoyant une requête WebSocket non authentifiée avec un User-Agent spécifique et un paramètre bmID commençant par -3389, l'attaquant ouvre un tunnel vers les services localhost de la machine. CVE-2026-15410, côté console d'administration, est ensuite exploitée via une traversée de chemin pour escalader les privilèges jusqu'à root. Les correctifs à appliquer sont les versions 12.4.3-03453 et 12.5.0-02835 (platform-hotfix), ou ultérieures.
Pourquoi patcher ne suffit pas : ce que demandent le CERT-FR et la CISA
C'est là où l'affaire devient concrète pour les administrateurs qui gèrent ce type d'équipement. SonicWall, la CISA et le CERT-FR sont unanimes sur un point : l'application du correctif est nécessaire mais pas suffisante. Dès lors qu'il existe une possibilité que l'appliance ait été compromise avant le patch, les recommandations s'élèvent nettement.
Pour les appliances matérielles, SonicWall recommande un réimagement complet, soit une réinstallation depuis zéro. Pour les appliances virtuelles, un redéploiement. Dans les deux cas, le changement de tous les mots de passe utilisateurs et administrateurs est obligatoire, ainsi que la rotation des tokens TOTP. Vient ensuite l'audit des logs à la recherche des indicateurs de compromission publiés dans l'advisory SonicWall : présence des fichiers ROOTRUN, KNUCKLEBALL, de l'URI /workplace/error.jsp, d'activité tcpdump anormale sur les ports LDAP. Volexity a également publié les hashs des fichiers malveillants et les patterns de requêtes suspects sur son blog.
La CISA avait donné aux agences fédérales américaines jusqu'au 17 juillet pour remédier. Cette deadline est passée, mais pour toute organisation exposant un boîtier SMA 1000 sur Internet, la question de l'audit reste entière.
La série noire des équipements de périmètre, et SonicWall en récidive
Avec cette nouvelle affaire, Sonicwall confirme une année noire pour les appliances. En mai, des VPN SonicWall étaient compromis via un contournement de la MFA sur des équipements pourtant patchés, illustrant que le problème de remédiation incomplète n'est pas nouveau chez les clients de la marque. SonicWall figure régulièrement au catalogue KEV de la CISA, aux côtés d'autres fournisseurs d'équipements d'accès distant comme Ivanti ou Cisco, dont les boîtiers sont eux aussi exploités à intervalles réguliers.
Le pattern est connu des équipes de sécurité et des CISO : les appliances de périmètre sont des cibles de choix parce qu'elles sont accessibles depuis l'extérieur par conception, parce qu'elles agrègent des identifiants de connexion à haute valeur, et parce que leur firmware complexe cache régulièrement des surfaces d'attaque difficiles à auditer de l'extérieur. UTA0533 n'a pas eu besoin d'être particulièrement inventif : une faille SSRF pour ouvrir un tunnel, une traversée de chemin pour monter en root, des outils open source recyclés pour la persistance. Le tout opéré en silence pendant trois semaines.
Pour les entreprises et les administrations qui s'interrogent sur leur exposition, la réponse tient en deux vérifications : identifier si des boîtiers SMA 1000 sous les versions vulnérables sont exposés sur Internet, et décider si un simple patch suffit ou si un réimagement s'impose. Le CERT-FR a posé la question clairement. La réponse, elle, appartient aux équipes terrain.
