Correctif SMA insuffisant : sept vérifications à faire

Le correctif SMA-1000 est obligatoire, mais ne clôt pas un incident. Se contenter de cocher la version du firmware revient à ignorer des identifiants volés, des sessions actives et des graines TOTP. Dans des cas documentés, les attaquants ont rétabli le patch après son application.

À consulter également : Cyberrésilience : maîtriser les fenêtres de correctifs et les API · MFA adaptatif : pourquoi les règles standard ne suffisent plus

Qu’est-ce que la chaîne d’exploitation zero-day SMA-1000 ? Deux vulnérabilités dans le SonicWall Secure Mobile Access 1000 se complètent : une SSRF non authentifiée ouvre la brèche, tandis qu’une injection de code dans l’AMC permet de prendre le contrôle. Ensemble, elles offrent un accès root aux appliances accessibles depuis Internet. Les correctifs sont disponibles, et l’exploitation active par des groupes de ransomware comme Inc RaaS a été confirmée.

Les appliances Edge servent de point d’entrée initial, mais ne constituent pas l’objectif final. Le correctif ferme la porte connue, mais la chaîne exploitée par le ransomware Inc laisse des traces dans les répertoires et les graines MFA. Cette liste classe sept vérifications par ordre d’efficacité : d’abord celles qui bloquent immédiatement, puis celles qui chassent l’attaquant du domaine.

1. Inventaire : uniquement les appliances SMA 1000, pas toutes les solutions SonicWall

Le périmètre est strict. Sont concernées les appliances SMA-1000 des modèles 6210, 7210 et 8200v exécutant les versions de firmware 12.4.3 et 12.5.0. Selon le fabricant, les appliances SMA 100 et les solutions SSL-VPN sur les pare-feux SonicWall ne font pas partie de ce flux d’urgence.

Un inventaire propre ne remplace cependant pas un scan Internet. Toute URL de WorkPlace accessible publiquement doit être prise en compte, même si l’appliance était initialement destinée uniquement à des partenaires ou administrateurs.

2. Mise à jour corrective 12.4.3-03453 et 12.5.0-02835 – aujourd’hui

SonicWall publie des correctifs urgents (hotfixes) à partir des versions 12.4.3-03453 et 12.5.0-02835. Ces mises à jour comblent les vulnérabilités publiques et constituent une exigence minimale stricte pour cette semaine.

Une mise à jour ne supprime ni les comptes de service LDAP compromis ni les graines TOTP. Rapid7 a documenté des cas où des attaquants ont rétrogradé le nouveau correctif après son application. Qui applique le correctif puis le coche sans analyser les journaux redonne l’initiative à l’attaquant.

3. Lire les journaux IoC avant de déclarer un système « propre »

SonicWall fournit des indicateurs concrets : dans le fichier extraweb_access.log, des requêtes vers ‘/__api__/login’ ou ‘/__api__/logout’ avec un code HTTP 200 ; des accès à ‘/wsproxy’ avec des paramètres d’hôte suspects et un statut 101 ; dans le fichier ctrl-service.log, des annulations de correctifs (hotfix rollbacks) portant des noms de traversées de chemin (path traversal) ; dans le fichier /var/lib/unit/conf.json, des routes pour des chemins d’API qui n’apparaissent pas dans des configurations légitimes.

L’absence de correspondances ne signifie pas que le système n’a jamais été compromis. Si les journaux ont été tournés (log rotation) ou si l’appareil a été re-provisionné, l’historique des expositions (Exposure-Historie) combiné aux données de télémétrie Active Directory (AD-Telemetrie) doit combler cette lacune.

4. En cas d’IoC : réinstaller l’image, pas seulement « durcir »

Les recommandations des éditeurs face à des indicateurs de compromission (IoC) sont claires : réinstaller physiquement l’appliance ou redéployer l’instance virtuelle. Ensuite, modifier les mots de passe des administrateurs et des utilisateurs, et réinitialiser les jetons OTP basés sur le temps. C’est la seule méthode pour briser le lien entre la base de données des sessions et les graines (seeds) de l’authentification multifacteur (MFA).

Une réinstallation sans rotation des mots de passe et des graines laisse persister des identités volées dans l’annuaire. Ces deux actions doivent impérativement être réalisées dans la même fenêtre de changement. Deux tickets distincts, espacés de deux semaines, offrent une fenêtre d’opportunité à l’attaquant.

5. Traces d’incidents dédiées aux graines MFA et aux données de session

Rapid7 décrit un vol systématique d’identifiants, de sessions actives et de configurations TOTP. Ces données survivent à toute mise à jour du firmware. Tous les comptes d’annuaire et les données d’enrôlement MFA liés à l’appliance SMA doivent être intégrés dans l’hypothèse de compromission.

Se contenter de désactiver les comptes administrateur ne suffit pas. Les identités VPN partenaires et les comptes de service liés à l’appareil génèrent la même trace. L’exfiltration des graines (seeds) traverse l’ensemble des rôles.

6. Mouvement latéral : recherche d’authentifications directes (AD) sans tunnel VPN

La technique observée : des authentifications réalisées directement contre les contrôleurs de domaine depuis l’adresse IP interne de l’appliance, sans tunnel VPN correspondant, parfois avec des noms de clients atypiques. Il s’agit d’un schéma typique de chasse aux identités (Identity-Hunting) ou d’alerte SIEM pour les jours précédant et suivant l’application du correctif.

Sans logs de flux réseau issus de la segmentation de l’appliance, la recherche reste limitée. Dans ce cas, la corrélation des événements de sécurité des contrôleurs de domaine (DC) sur l’IP de l’appliance peut apporter des éléments complémentaires.

7. Exclus : gestion et postes de travail sortis du réseau ouvert

L’accès non authentifié ne nécessite aucune connexion à l’interface du poste de travail. Tant que les portails AMC et l’interface utilisateur restent accessibles depuis Internet, le prochain zero-day affectant Edge reste une question de temps. La mise en place de serveurs mandataires (jump-hosts), de listes d’autorisation (allowlist) et de chemins d’administration séparés réduit durablement la surface d’attaque.

Cependant, une refonte architecturale ne remplace pas un correctif urgent à appliquer dès cette semaine. D’abord fermer les brèches, puis démêler les dépendances.

Priorités et calendrier

Aujourd’hui : appliquer les correctifs (hotfix) sur les instances concernées de SMA-1000, exécuter les contrôles d’indicateurs de compromission (IoC). En cas de détection, réinstaller les appliances avec réinitialisation des mots de passe et du TOTP. Cette semaine : chasse aux activités suspectes (AD-Hunting) sur les adresses IP des appliances, rotation des sessions et des graines (seeds), préparation d’un rapport de preuve pour la direction. Par la suite : supprimer définitivement l’exposition Internet des solutions Work Place et AMC. Les groupes Inc et autres acteurs de ransomware-as-a-service (RaaS) monétisent l’accès Edge. Pour eux, la CVE n’est qu’une porte d’entrée.

Sources étayant cette approche stricte : l’avis SonicWall SNWLID-2026-0008, l’entrée KEV de la CISA relative aux deux CVE, le rapport d’investigation d’urgence (ETR) de Rapid7 sur l’exploitation avec attribution au groupe Inc (Dark Reading, 17.07.2026), ainsi que The Hacker News du 15.07.2026 sur les états de correctifs et les IoC.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Quels produits SonicWall sont concernés par les vulnérabilités CVE-2026-15409 et CVE-2026-15410 ?

Les modèles SMA 1000 de la série 6210, 7210 et 8200v, équipés des branches firmware 12.4.3 et 12.5.0, sont concernés par ces vulnérabilités. Les appliances SMA 100 et les solutions SSL-VPN sur les pare-feux SonicWall, en revanche, ne le sont pas, selon le fabricant.

Un correctif à chaud suffit-il si aucun indicateur de compromission (IoC) n’apparaît dans les journaux ?

Le correctif est impératif. En l’absence d’indicateurs de compromission (IoC) et avec une exposition limitée et bien documentée, une surveillance renforcée des identités peut suffire. En revanche, si l’historique est flou, si l’exposition sur Internet s’est prolongée sur plusieurs semaines ou si les logs manquent, l’hypothèse la plus stricte s’impose : examen forensique et, le cas échéant, redéploiement complet.

Pourquoi les graines (seeds) TOTP sont-elles mentionnées séparément ?

Rapid7 décrit le maintien des configurations TOTP (Time-based One-Time Password) comme une technique de persistance. Si l’on se contente de modifier le mot de passe de l’appareil, des éléments permettant de contourner l’authentification multifactorielle (MFA) restent entre les mains de l’attaquant. Les graines (seeds) et l’enrôlement doivent faire l’objet du même processus de réinitialisation que les mots de passe.

Que signifie l’inscription sur la liste CISA-KEV pour les exploitants allemands ?

La KEV (Kritische-Erkennungsvorlage) n’est pas une loi allemande, mais un indicateur fiable d’exploits actifs. Pour les opérateurs concernés par la directive NIS2, elle renforce l’urgence des obligations de correctifs et de traçabilité documentées. La date butoir du 17.07.2026 fixée par les autorités américaines (FCEB) marque le délai de réaction attendu. Elle ne constitue pas un cadre juridique allemand.

Comment l’incident de ransomware lié à Inc est-il lié à cette affaire ?

Selon Rapid7 (Dark Reading, 17.07.2026), une activité liée à Inc a exploité la chaîne SMA-1000 comme vecteur d’accès initial, récupéré des identifiants et préparé une attaque par ransomware. La passerelle Edge constitue le point d’entrée. L’objectif reste une double extorsion au sein du réseau interne.

Les choix de la rédaction

À lireCyberattaque : les plus grandes vagues sont encore à venirÀ lireMFA adaptative : pourquoi enfreindre les règles standardsÀ lireTest MITRE EDR : 100 % ne garantit pas l’immunité

Plus du réseau MBF Media

Digital ChiefsAccès orphelins : la faille cyber silencieusecloudmagazinAntares : les SLM open-weight détectent les fichiers CVE