📰 Source : BleepingComputer | Date : 6 novembre 2026

SonicWall a publié des mises à jour de sécurité corrigeant sept vulnérabilités dans SonicOS, dont une faille d’authentification SSL-VPN confirmée comme exploitée dans des attaques réelles.

🔓 Vulnérabilité principale — CVE-2026-19868 :

  • Type : Contournement de l’authentification SAML (bypass MFA)
  • Score CVSS : 7.1
  • Condition : Attaquant disposant de credentials valides pour une méthode d’authentification alternative
  • Impact : Contournement des contrôles SAML, y compris le MFA imposé par SAML
  • Périmètre : Services SSL-VPN SonicOS configurés avec l’authentification SAML uniquement
  • Découvreur : Ryan Harris (The Electronic Office)

⚠️ Exploitation confirmée : La CISA a ajouté CVE-2026-19868 à son catalogue Known Exploited Vulnerabilities (KEV). Les agences fédérales civiles (FCEB) ont jusqu’au 20 novembre 2026 pour sécuriser les systèmes concernés.

🛡️ Autres vulnérabilités corrigées :

  • Deux failles d’interface de gestion (CVSS 8.8) permettant à des attaquants non authentifiés d’effectuer des opérations non autorisées sous certaines conditions
  • Débordements de tampon pré-authentification dans les services SSL-VPN et TACACS+ (risque de déni de service)
  • Vulnérabilité de hachage de mot de passe faible affectant les appliances virtuelles

📦 Versions affectées et corrigées :

  • Gen7 : versions ≤ 7.3.3-7015 → corrigé en 7.3.4-7013
  • Gen8 : versions ≤ 8.2.2-8015 → corrigé en 8.2.3-8015
  • Aucun contournement disponible

🔗 Contexte d’attaques récurrentes sur SonicWall :

  • Octobre 2026 : exploitation de CVE-2026-102255 (criticité maximale) ciblant les appliances SMA1000
  • Septembre 2026 : chaînage de deux zero-days SMA1000 pour obtenir une exécution de code à distance
  • Juillet 2026 : exploitation de deux autres zero-days pour déployer des malwares sur des appliances vulnérables

📌 Cet article est un patch de sécurité combiné à une alerte d’exploitation active, visant à informer les administrateurs SonicWall de la nécessité de mise à jour urgente.

🧠 TTPs et IOCs détectés

TTP

  • T1556 — Modify Authentication Process (Credential Access)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1499 — Endpoint Denial of Service (Impact)

IOC

  • CVEs : CVE-2026-19868 — NVD · CIRCL
  • CVEs : CVE-2026-102255 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 9 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 56/100 (moyenne)

  • ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
  • ✅ 2969 chars — texte partiel (10pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 3 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/