CVE-2024-40766

Source et contexte: Arctic Wolf Labs publie une analyse approfondie d’une campagne toujours active (débutée fin juillet 2025) où le ransomware Akira cible des environnements équipés de pare-feux SonicWall via des connexions SSL VPN malveillantes, avec des temps de compromission et de chiffrement mesurés en heures. • Vecteur initial et vulnérabilités: Les intrusions débutent par des connexions SSL VPN provenant de VPS/ASNs d’hébergement, souvent suivies en minutes par du scan réseau et l’usage d’Impacket. Des comptes locaux et LDAP-synchronisés (y compris des comptes AD de synchro non censés se connecter en VPN) sont utilisés. Les acteurs valident des défis OTP/MFA sur SonicOS, bien que la méthode exacte de contournement reste non élucidée. SonicWall lie la campagne à CVE‑2024‑40766 (improper access control) et évoque la possibilité d’identifiants dérobés sur des versions vulnérables puis réutilisés après mise à jour. Arctic Wolf mentionne aussi l’incident MySonicWall cloud backup sans lien établi avec cette campagne. ...

Selon Arctic Wolf Labs, depuis fin juillet 2025, une hausse d’intrusions impliquant des connexions suspectes aux SonicWall SSL VPN est observée, rapidement suivies de scans réseau, d’activité SMB via Impacket et du déploiement du ransomware Akira. SonicWall relie ces connexions malveillantes à la vulnérabilité CVE‑2024‑40766 (improper access control), laissant penser à une réutilisation d’identifiants récoltés sur des appareils auparavant vulnérables, même après correctif. L’infrastructure de la campagne a encore évolué au 20 septembre 2025. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2024-7344 [CVSS None ⚪] [VLAI Medium 🟨] Produit : Radix SmartRecovery Score CVSS : None ⚪ EPSS : 0.00098 🟩 VLAI : Medium 🟨 Poids social (Fediverse) : 1711.0 Description : L’application UEFI “Reloader” de Howyar (32 bits et 64 bits) est vulnérable à l’exécution de logiciels non signés dans un chemin codé en dur. Date de publication officielle : 14 janvier 2025 à 13h29 Posts Fediverse (18 trouvés) 🗨️ ESET Research – n/d For guidance on how to protect and verify whether your system is exposed to CVE-2024-7344, please refer to our Jan 2025 blogpost on this vulnerability: www.welivesecurity.com/en/eset-rese…. 7/8 ...

Selon Cyble, le Centre australien pour la cybersécurité (ACSC) de l’ASD a confirmé l’exploitation active de la vulnérabilité CVE-2024-40766 ciblant les VPN SSL de SonicWall, et appelle les organisations australiennes à appliquer des mesures immédiates. ⚠️ Fait principal: exploitation active de CVE-2024-40766 sur des SonicWall SSL VPNs. Mesures urgentes recommandées par l’ACSC: Application immédiate des correctifs (patching) pour les appliances concernées. Activation de l’authentification multifacteur (MFA). Renforcement des contrôles d’accès aux services exposés. Portée: l’alerte vise en priorité les organisations australiennes, compte tenu du risque en cours. ...

Résumé global : Total CVE: 6Exploited: 0Patch dispo: 0Seen: 5CVSS moyen: 5.4 Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability‑Lookup (EPSS, sightings, CWE, références). CVE-2025-8088 CVSS 8.4 (HIGH)EPSS n/dseenCWE n/dPoids social 1375.0 ...