SonicWall : deux zero-days exploités des semaines avant le correctif

Le 14 juillet 2026, SonicWall a publié un correctif d'urgence pour deux vulnérabilités zero-day critiques touchant ses boîtiers SMA1000, dédiés à l'accès distant sécurisé en entreprise. Problème : selon la société de cybersécurité Volexity, qui a assisté SonicWall dans son enquête, ces failles étaient déjà exploitées activement depuis le 22 juin, soit environ vingt-deux jours avant la disponibilité du correctif.

Pour un boîtier qui sert justement à sécuriser les connexions distantes des salariés, c'est le pire scénario possible : la porte d'entrée du réseau a été forcée en silence, pendant plus de trois semaines, avant même que l'éditeur ne sache qu'il y avait un problème.

Les boîtiers SMA1000, en trois lignes

Rappel rapide pour ceux qui ne croisent pas SonicWall au quotidien : la gamme SMA1000 (Secure Mobile Access) est une appliance d'accès distant sécurisé, l'équivalent d'un VPN d'entreprise avec authentification et gestion centralisée des accès. C'est exactement le type de matériel qu'on trouve en frontal chez des PME et ETI françaises pour permettre aux équipes de se connecter au système d'information depuis l'extérieur. Un boîtier de ce type est, par construction, exposé sur Internet. Une faille dessus n'est pas un problème parmi d'autres : c'est un accès direct au périmètre.

Ce que Volexity a documenté

Les deux failles portent les identifiants CVE-2026-15409 et CVE-2026-15410. Elles permettent à un attaquant distant et non authentifié de compromettre les boîtiers SMA1000. SonicWall a mis à disposition des hotfix pour les corriger.

Volexity attribue l'exploitation à un acteur qu'elle suit sous le nom UTA0533. L'entreprise n'a pas établi de lien avec un groupe connu et reste prudente sur la motivation, mais elle précise que le mode opératoire observé ressemble davantage à une opération de renseignement qu'à de la cybercriminalité classique à but lucratif.

Une fois un boîtier compromis, les attaquants ont déployé un malware sur mesure baptisé KnuckleBall, qui a ensuite injecté deux autres outils dans des processus légitimes : un webshell Java personnalisé nommé OrangeTail, et un proxy open source, Suo5. Avec un accès root sur l'appliance, Volexity indique que l'acteur pouvait accéder aux identifiants stockés ou mis en cache, capturer le trafic réseau, et potentiellement intercepter des identifiants transitant par le boîtier.

Point notable, et plutôt rassurant compte tenu de la gravité de l'accès obtenu : Volexity précise que malgré une capacité de compromission significative sur les appliances SonicWall elles-mêmes, l'acteur semble avoir eu moins de succès pour rebondir latéralement vers d'autres systèmes du réseau.

La CISA a ajouté les deux CVE à son catalogue KEV (Known Exploited Vulnerabilities), qui recense désormais dix-sept failles affectant des produits SonicWall.

Ce que ça implique pour votre périmètre réseau

Trois points concrets à retenir si votre entreprise, ou un de vos clients, exploite du matériel SonicWall SMA1000 :

• Patchez, mais ne vous arrêtez pas là. Le hotfix corrige la vulnérabilité, pas une éventuelle compromission déjà en place. Si votre appliance était exposée entre le 22 juin et le 14 juillet 2026, appliquer le correctif ne suffit pas : il faut aussi vérifier qu'aucun accès n'a été établi durant cette fenêtre.
• Cherchez les indicateurs de compromission. Volexity a publié des IoC et des détails techniques sur les outils KnuckleBall, OrangeTail et Suo5. Si vous gérez ce type d'appliance en interne ou via un prestataire, la vérification des logs d'accès, des processus inhabituels et des connexions sortantes vers des proxys non identifiés doit faire partie de la réponse immédiate, pas d'un audit trimestriel.
• Partez du principe qu'un accès root vaut compromission des identifiants. Volexity est claire : un attaquant avec un accès root sur ce type de boîtier peut potentiellement intercepter des identifiants qui transitent par l'appliance. Si vous étiez exposé pendant la fenêtre d'exploitation, la rotation des mots de passe et secrets liés aux comptes utilisant cet accès distant n'est pas une option, c'est une nécessité.

Notre lecture chez CZSyn

Ce dossier illustre un problème structurel que beaucoup de PME françaises sous-estiment : le matériel de périmètre (firewall, VPN, passerelle d'accès distant) est traité comme une brique qu'on installe une fois et qu'on oublie. Or c'est justement la surface la plus exposée du système d'information, celle qui fait face à Internet en permanence, et celle dont la compromission donne un accès quasi total avant même d'avoir touché une seule application interne.

Le décalage entre le début de l'exploitation, le 22 juin, et la publication du correctif, le 14 juillet, rappelle une réalité inconfortable : un zero-day sur un équipement de périmètre peut rester invisible pendant des semaines, sans qu'aucun signal d'alerte ne remonte côté client, tant que personne d'autre que l'attaquant et, potentiellement, le vendeur, ne sait que la faille existe. Pour une PME qui n'a pas d'équipe de supervision réseau dédiée, ce type d'incident ne se détecte pas tout seul : il faut soit une supervision active des logs et du trafic sortant, soit s'appuyer sur un partenaire qui suit les avis de sécurité et les catalogues comme le KEV de la CISA au quotidien.

Notre recommandation reste la même depuis des années : ne faites jamais reposer la sécurité de votre périmètre sur un seul boîtier, aussi réputé soit-il. Segmentation réseau, authentification multi-facteurs sur les accès distants, et surtout un processus de veille et de patch management qui ne dépend pas de la mémoire de quelqu'un, sont ce qui fait la différence entre une faille corrigée à temps et un incident découvert trois semaines trop tard.

Sources primaires

• SecurityWeek, « SonicWall Zero-Days Exploited to Deliver Custom Malware for Weeks Before Patch », 17 juillet 2026.
• CISA, Known Exploited Vulnerabilities Catalog.
• Volexity, blog de recherche.