La faille SonicWall SSL-VPN CVE-2026-19868 permet de contourner l’authentification SAML, y compris le MFA imposé par SAML, sur les pare-feu SonicOS : elle est déjà exploitée et la CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées. Si votre accès distant passe par un pare-feu SonicWall Gen7 ou Gen8 configuré avec SAML, installez SonicOS 7.3.4-7013 ou 8.2.3-8015 dès aujourd’hui.
Ce que permet la faille CVE-2026-19868
SonicWall a publié le 6 novembre l’avis SNWLID-2026-0014, qui corrige sept vulnérabilités de SonicOS. La plus urgente touche le service SSL-VPN lorsqu’il utilise l’authentification SAML, c’est-à-dire lorsque la connexion VPN est déléguée à un fournisseur d’identité comme Microsoft Entra ID, Okta ou Google Workspace, souvent pour y imposer la double authentification.
Selon BleepingComputer, un attaquant qui possède des identifiants valides pour une méthode d’authentification alternative configurée sur le pare-feu peut contourner les contrôles SAML, et donc le MFA qui en dépend. Concrètement, un mot de passe volé par hameçonnage, par un logiciel espion ou dans une fuite de données redevient suffisant pour entrer sur votre réseau, alors que vous pensiez que le second facteur l’interdisait.
Le score CVSS de 7,1 peut sembler modéré. Il sous-estime pourtant le risque pour une PME : le MFA sur le VPN est souvent la seule barrière entre un identifiant compromis et le réseau interne, et c’est précisément cette barrière qui tombe.
Quels pare-feu SonicWall sont concernés
- SonicOS Gen7 en version 7.3.3-7015 ou antérieure : corrigé en 7.3.4-7013.
- SonicOS Gen8 en version 8.2.2-8015 ou antérieure : corrigé en 8.2.3-8015.
- Le contournement du MFA ne concerne que les SSL-VPN configurés avec SAML. SonicWall indique qu’aucun contournement provisoire n’existe : seule la mise à jour corrige la faille.
Les six autres vulnérabilités du même avis s’appliquent même sans SAML : deux failles de l’interface d’administration notées 8,8, exploitables sans authentification dans certaines conditions, des dépassements de tampon avant authentification dans les services SSL-VPN et TACACS+ qui peuvent provoquer un déni de service, et un hachage de mots de passe trop faible sur les appliances virtuelles. Un pare-feu SonicWall sans SAML doit donc lui aussi être mis à jour.
Pourquoi la CISA impose une correction avant le 20 novembre
SonicWall indique avoir enquêté sur un signalement d’exploitation, sans en donner les détails. La CISA a ajouté CVE-2026-19868 à son catalogue KEV le 6 novembre, ce qui confirme une exploitation réelle, et a fixé aux agences fédérales américaines une échéance au 20 novembre 2026. Ce délai de deux semaines est un bon repère pour une PME française : au-delà, vous laissez une porte connue ouverte.
Cette alerte s’inscrit dans une série : les passerelles d’accès distant SonicWall ont déjà été ciblées à plusieurs reprises cette année, comme nous l’avions détaillé à propos de la faille zero-day des SMA1000. Les équipements VPN exposés sur Internet restent l’un des points d’entrée favoris des groupes de ransomware, parce qu’ils donnent un accès direct au réseau interne.
Que faire maintenant
- Identifiez vos pare-feu SonicWall, leur génération (Gen7 ou Gen8), leur version SonicOS et le mode d’authentification du SSL-VPN (SAML ou non) : dix minutes dans la console suffisent.
- Restreignez l’accès à l’interface d’administration du pare-feu au seul réseau interne ou à une liste d’adresses IP de confiance, pour réduire l’exposition aux deux failles d’administration en attendant la mise à jour.
- Appliquez SonicOS 7.3.4-7013 ou 8.2.3-8015 lors d’une fenêtre de maintenance courte, de préférence avant le 20 novembre, après avoir sauvegardé la configuration.
- Supprimez les comptes locaux et les méthodes d’authentification alternatives inutiles sur le SSL-VPN, et réinitialisez les mots de passe de ceux que vous conservez.
- Contrôlez les journaux SSL-VPN des dernières semaines : connexions sans validation MFA, horaires ou pays inhabituels, comptes dormants. Notre méthode pour vérifier un pare-feu ou un VPN compromis en 7 étapes détaille ces vérifications.
Une connexion VPN anormale passe souvent inaperçue pendant des jours, alors qu’elle se repère en quelques minutes avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- La faille SonicWall SSL-VPN CVE-2026-19868 contourne le MFA imposé par SAML et elle est exploitée.
- Elle touche SonicOS Gen7 jusqu’à 7.3.3-7015 et Gen8 jusqu’à 8.2.2-8015.
- Aucun contournement provisoire : seule la mise à jour 7.3.4-7013 ou 8.2.3-8015 corrige.
- Six autres failles du même avis justifient la mise à jour même sans SAML.
- Vérifiez les journaux VPN : un identifiant volé a pu suffire pour entrer.