La CISA ajoute une faille de contournement MFA de SonicWall à sa liste des vulnérabilités exploitées

L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a ajouté une vulnérabilité critique de SonicWall SonicOS à son catalogue des vulnérabilités connues et exploitées. Cette décision fait suite à des rapports indiquant que cette faille, qui permet aux attaquants de contourner l'authentification multifacteur, est activement exploitée dans des attaques réelles.

Ce qui s'est passé

La CISA a identifié CVE-2026-19868 comme un problème de gravité élevée, avec un score CVSS compris entre 7,1 et 7,5. L'agence a déclaré qu'il existe des indications selon lesquelles cette vulnérabilité a été utilisée dans des campagnes actives, ce qui a motivé son inclusion dans le catalogue afin d'imposer une correction rapide pour les agences fédérales. SonicWall a confirmé avoir enquêté sur un rapport indiquant une exploitation potentielle, sans toutefois divulguer de détails sur les acteurs de la menace ou la nature spécifique des attaques.

Outre le contournement du MFA, SonicWall a corrigé plusieurs autres failles de gravité élevée dans le même avis. Celles-ci incluent CVE-2026-107155 et CVE-2026-107154, toutes deux ayant un score CVSS de 8,8, qui affectent l'interface de gestion. Une autre faille, CVE-2026-82308, implique un débordement de tampon basé sur le tas avant authentification dans le service SSL-VPN, pouvant entraîner des conditions de déni de service. Les agences du Federal Civilian Executive Branch ont reçu pour instruction d'appliquer ces correctifs avant le 20 novembre 2026.

Cette annonce intervient peu après que SonicWall ait traité deux vulnérabilités non corrigées dans son Global Management System en fin de vie. Ces failles, CVE-2026-109593 et CVE-2026-109594, restent non corrigées pour les systèmes hérités, l'éditeur exhortant les clients à migrer vers la plateforme Network Security Manager.

Comment cela fonctionne

La vulnérabilité principale, CVE-2026-19868, est une erreur d'application de l'authentification au sein du service SSL-VPN de SonicOS. Elle affecte spécifiquement les environnements utilisant SAML pour l'authentification unique et l'authentification multifacteur. La faille permet à un utilisateur possédant des identifiants valides pour une méthode d'authentification alternative de contourner entièrement les contrôles SAML.

En pratique, si une organisation impose le MFA via SAML mais autorise également une autre méthode de connexion, un attaquant peut exploiter ce chemin alternatif pour passer outre l'exigence de MFA. Cette lacune de conception signifie que la présence de facteurs d'authentification forts ne garantit pas la protection si le système ne les applique pas à tous les points d'entrée. Les autres vulnérabilités corrigées impliquent des politiques interdomaines permissives et des erreurs de validation de session, qui pourraient permettre à des attaquants distants et non authentifiés d'effectuer des opérations non autorisées sur l'interface de gestion dans des conditions spécifiques.

Détails clés

• Vulnérabilité principale : CVE-2026-19868 permet de contourner le MFA imposé par SAML via des méthodes d'authentification alternatives.
• Gravité : Le score CVSS est indiqué entre 7,1 et 7,5 ; la CISA la classe comme étant activement exploitée.
• Autres failles : Deux vulnérabilités de l'interface de gestion (CVE-2026-107155, CVE-2026-107154) ont obtenu un score de 8,8, ainsi qu'une faille DoS (CVE-2026-82308).
• Date limite : Les agences du Federal Civilian Executive Branch doivent appliquer les correctifs avant le 20 novembre 2026.
• Systèmes hérités : Deux failles non corrigées subsistent dans les produits Global Management System en fin de vie.
• Réponse de l'éditeur : SonicWall recommande des mises à jour immédiates mais n'a pas divulgué l'identité des attaquants ni les techniques d'exploitation spécifiques.

Pourquoi c'est important

Pour les équipes d'ingénierie et les responsables IT, cet incident met en évidence la fragilité des architectures d'authentification mixtes. De nombreuses organisations superposent le MFA basé sur SAML à leurs services d'annuaire existants, partant du principe que cela offre une protection uniforme. Cependant, si la plateforme sous-jacente autorise des chemins de connexion alternatifs qui ne déclenchent pas les mêmes vérifications MFA, le contrôle de sécurité est effectivement neutralisé. Il ne s'agit pas seulement d'une erreur de configuration, mais d'un défaut logique dans la manière dont le service VPN applique les politiques d'authentification.

L'inclusion de cette faille dans le catalogue des vulnérabilités connues et exploitées de la CISA augmente les enjeux liés à la remédiation. Contrairement aux avis standard, les listes KEV entraînent souvent des actions de conformité obligatoires pour les contractants gouvernementaux et les fournisseurs d'infrastructures critiques. La fenêtre courte jusqu'à la date limite du 20 novembre pour les agences fédérales suggère que des tentatives généralisées de scan et d'exploitation sont probablement déjà en cours dans le secteur privé également.

De plus, la persistance de vulnérabilités non corrigées dans des produits en fin de vie tels que le Global Management System rappelle les risques liés à la dette technique. Les organisations dépendant de plans de gestion hérités peuvent se retrouver exposées à des failles similaires d'authentification ou d'interface de gestion, sans autre voie claire de remédiation que la migration complète de la plateforme.

Que pouvez-vous faire

• Mettez à jour immédiatement le firmware SonicWall SonicOS vers la dernière version pour corriger CVE-2026-19868 et les failles associées.
• Auditez votre configuration SSL-VPN pour vous assurer qu'aucune méthode d'authentification alternative ne contourne les exigences du MFA SAML.
• Vérifiez que l'accès à l'interface de gestion est restreint aux plages IP fiables pour atténuer les risques liés à CVE-2026-107155 et CVE-2026-107154.
• Prévoyez la migration hors des instances Global Management System en fin de vie vers Network Security Manager.
• Surveillez les journaux réseau pour détecter des modèles de connexion VPN inhabituels pouvant indiquer des tentatives d'exploitation de chemins d'authentification alternatifs.
• Confirmez l'application des correctifs avant le 20 novembre 2026 si votre organisation relève de mandats de conformité fédéraux.