Deux vulnérabilités affectent l'ancien logiciel de gestion des pare-feu SonicWall, dont une critique permettant de consulter des fichiers internes sans authentification. L'éditeur ne publiera pas de patch et recommande aux entreprises concernées de migrer vers une solution plus récente.
SonicWall vient de publier un bulletin de sécurité concernant Global Management System (GMS), son ancienne plateforme d'administration centralisée qui permet aux équipes informatiques de superviser et de configurer de nombreux équipements de sécurité depuis une interface unique. Les chercheurs de Pentest-Tools y ont découvert deux vulnérabilités affectant les installations encore en service, et l’entreprise a confirmé qu'elle ne développerait aucun correctif.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Des fichiers internes accessibles sans identifiants
Dans le détail, les deux vulnérabilités touchent GMS 9.5.2 et ses versions antérieures, sur Windows comme sur Linux. La première, référencée CVE-2026-109593, présente un score de gravité de 9,1/10 et permet à un attaquant disposant d'un accès réseau au serveur GMS de lire des fichiers internes sans avoir besoin de s'authentifier. Or, selon leur contenu, ces fichiers pourraient révéler des informations sensibles sur le système.
La seconde faille, CVE-2026-109594, est une injection SQL évaluée à 6,8/10 qui pourrait permettre à un attaquant d'accéder à des informations stockées dans la base de données de GMS, voire de les modifier dans certaines conditions. Son exploitation nécessite cependant des privilèges élevés : contrairement à la première vulnérabilité, l'attaquant doit déjà disposer d'un accès authentifié à la plateforme, assorti de droits importants.
Pas de mise à jour prévue, les entreprises priées de migrer
Une installation de GMS peut superviser plusieurs centaines, voire plusieurs milliers d'équipements ; l'exploitation de la première faille pourrait donc renseigner un attaquant sur une partie importante de l'infrastructure réseau d'une entreprise. SonicWall ne corrigera pourtant aucune des deux failles, puisque GMS a été remplacé par Network Security Manager (NSM) et ne bénéficie plus du support de l'éditeur depuis le 30 septembre dernier.
Pour se débarrasser de ces vulnérabilités, les entreprises qui utilisent encore GMS devront donc migrer vers NSM. Le temps d'organiser cette transition, elles devront se contenter de mesures temporaires, notamment en restreignant les accès réseau à l'ancienne plateforme et en surveillant les comptes disposant de privilèges élevés.
Pour l'heure, aucune exploitation active des deux failles n'a été publiquement documentée, mais leur divulgation pourrait inciter des attaquants à tenter de les exploiter.
