Faille SonicWall SMA1000 : SSRF critique déjà exploitée

La faille SonicWall SMA1000 CVE-2026-102255, notée 10 sur 10, est exploitée depuis le 8 octobre 2026, quelques jours seulement après sa publication. Si votre entreprise utilise une appliance SMA 6210, 7210 ou 8200v, appliquez le hotfix SonicWall aujourd’hui et vérifiez qu’aucune requête anormale n’a déjà atteint votre passerelle.

Faille SonicWall SMA1000 : une SSRF sans authentification

Début octobre 2026, SonicWall a publié l’avis SNWLID-2026-0017. Il décrit une vulnérabilité SSRF (Server-Side Request Forgery) exploitable avant toute authentification dans l’interface Work Place des appliances SMA1000. Un « chemin d’accès alternatif non prévu » permet à un attaquant distant, sans identifiant, de faire émettre des requêtes par l’appliance elle-même et d’atteindre des fonctions internes pour y réaliser des opérations non autorisées.

Concrètement, la passerelle d’accès distant, celle qui est exposée sur Internet par construction, devient le relais de l’attaquant vers ce qu’elle est censée protéger. C’est ce qui justifie le score CVSS 10.0 : aucune interaction utilisateur, aucun mot de passe, un équipement en frontal.

Sont concernées les appliances SMA1000 (modèles 6210, 7210 et 8200v) en version 12.4.3-03526 ou antérieure et 12.5.0-02952 ou antérieure. SonicWall précise que le SSL-VPN de ses pare-feu et la gamme SMA 100, plus répandue en petite PME, ne sont pas touchés.

Octobre 2026 : l’exploitation a commencé en quelques jours

Au moment de la publication, l’éditeur ne signalait aucune exploitation. La situation a changé très vite. La société Defused indique observer du trafic SSRF non authentifié contre ses leurres SonicWall SMA depuis le 8 octobre. Le chercheur Previdian a de son côté enregistré 135 tentatives d’exploitation provenant de deux adresses IP, compatibles avec CVE-2026-102255, comme le rapporte Security Affairs.

Ce délai très court est désormais la norme pour les équipements d’accès distant : les attaquants comparent le correctif à la version vulnérable, reconstruisent l’exploit et balaient Internet à la recherche des portails exposés. La même mécanique a frappé ces dernières semaines les passerelles Citrix, comme nous l’avons détaillé à propos de la faille NetScaler exploitée.

Un deuxième épisode critique pour la gamme SMA1000

Ce n’est pas la première alerte de l’année sur ces appliances. En juillet 2026, SonicWall confirmait déjà l’exploitation en zero-day de failles SMA1000, signalée par BleepingComputer. Deux campagnes en trois mois sur la même gamme montrent que ces passerelles figurent sur la liste de travail d’attaquants organisés.

Pour une PME ou une ETI, le risque est double. D’abord, une appliance compromise ouvre un accès direct au réseau interne, sans phishing ni vol de mot de passe. Ensuite, ces équipements sont rarement supervisés : leurs journaux restent sur la machine, et personne ne les lit avant l’incident. Une compromission peut donc durer des semaines sans être vue.

Enfin, une SSRF sur une passerelle n’est souvent que la première étape. En atteignant des fonctions internes de l’appliance, l’attaquant cherche ensuite à récupérer des sessions, des configurations ou des secrets réutilisables ailleurs dans le système d’information. C’est pourquoi le correctif seul ne suffit pas lorsque votre appliance est restée exposée plusieurs jours après la publication de l’avis.

Que faire maintenant

1. Identifiez vos appliances SMA1000 et relevez leur version exacte dans la console d’administration : 6210, 7210 ou 8200v en 12.4.3-03526, 12.5.0-02952 ou antérieure sont vulnérables.
2. Appliquez le platform-hotfix publié dans l’avis SNWLID-2026-0017 dès aujourd’hui, sans attendre la prochaine fenêtre de maintenance.
3. Restreignez l’accès à l’interface Work Place et à l’administration aux seules plages IP nécessaires tant que le correctif n’est pas déployé.
4. Recherchez dans les journaux de l’appliance les requêtes inhabituelles depuis le 8 octobre, notamment depuis l’adresse 146.70.143.142 signalée par Previdian, et les sessions ou comptes inconnus.
5. Renouvelez les identifiants, certificats et secrets stockés sur la passerelle si vous constatez la moindre activité suspecte.

Si vous envisagez de réduire durablement votre exposition, notre comparatif VPN ou ZTNA pour le télétravail en PME aide à choisir l’architecture qui expose le moins de portails sur Internet.

Une requête anormale sur votre passerelle à 3 h du matin se détecte et se contient avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.

Ce qu’il faut retenir

• La faille SonicWall SMA1000 CVE-2026-102255 (CVSS 10.0) permet une SSRF sans authentification.
• Des tentatives d’exploitation sont observées depuis le 8 octobre 2026.
• Seules les appliances SMA1000 sont concernées, pas les pare-feu SonicWall ni la gamme SMA 100.
• Le hotfix existe : l’appliquer aujourd’hui et contrôler les journaux sont les deux priorités.

Sources

• SonicWall PSIRT — SNWLID-2026-0017 (CVE-2026-102255)
• Previdian — télémétrie d’exploitation CVE-2026-102255
• Security Affairs — SonicWall Patches CVSS 10.0 SSRF Flaw as Attacks Begin
• Dark Reading — Maximum-Severity SSRF Flaw in SonicWall SMA Devices Under Attack
• BleepingComputer — SonicWall warns of SMA1000 flaws exploited in zero-day attacks