--- title: "SonicOS : sept failles corrigées, dont un contournement MFA déjà exploité" description: "SonicWall a corrigé le 6 novembre sept failles de SonicOS, dont un contournement de l'authentification SAML du SSL-VPN déjà exploité. Si votre VPN s'appuie sur SAML pour imposer la double authentification, elle peut ne plus suffire tant que le pare-feu n'est pas à jour." canonical: https://inyourgeek.com/articles/2026-11-07-sonicos-sept-failles-corrigees-dont-un-contournement-mfa-deja type: article author: "Sébastien Soulier" publisher: "InYourGeek" language: fr datePublished: 2026-11-07 dateModified: 2026-11-07 section: "Sécurité" tags: ["sonicwall", "vpn", "mfa", "cisa"] --- # SonicOS : sept failles corrigées, dont un contournement MFA déjà exploité > SonicWall a corrigé le 6 novembre sept failles de SonicOS, dont un contournement de l'authentification SAML du SSL-VPN déjà exploité. Si votre VPN s'appuie sur SAML pour imposer la double authentification, elle peut ne plus suffire tant que le pare-feu n'est pas à jour. 7 novembre 2026 · Sécurité · 3 min Vendredi 6 novembre 2026, SonicWall a publié un avis de sécurité qui corrige sept vulnérabilités de SonicOS, le système de ses pare-feu. L'une d'elles, CVE-2026-19868, a déjà été exploitée dans au moins une attaque. Tout ce qui suit vient d'une seule source, [Bleeping Computer](https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/). Cette source rapporte l'avis de l'éditeur et l'ajout de la faille au catalogue de la CISA. ## Une double authentification qui peut être contournée CVE-2026-19868 touche le service SSL-VPN de SonicOS, mais seulement lorsqu'il est configuré pour authentifier les utilisateurs par SAML. Un attaquant qui possède des identifiants valides pour une autre méthode d'authentification peut alors passer outre les contrôles SAML. Il peut aussi, potentiellement, échapper à la double authentification (MFA) que SAML impose. Autrement dit, la MFA rattachée à votre fournisseur d'identité ne garantit plus à elle seule que la personne connectée au VPN l'a réellement passée. La faille est notée 7,1 sur l'échelle CVSS. Ce score moyen ne doit pas faire baisser la priorité. L'équipe de réponse aux incidents de SonicWall (PSIRT) dit avoir enquêté sur un signalement d'exploitation possible, et l'éditeur demande à ses clients de mettre à jour le plus vite possible. Il n'a donné aucun détail sur l'attaque. De son côté, la CISA, l'agence américaine de cybersécurité, a ajouté la faille à son catalogue KEV des vulnérabilités exploitées, ce qui confirme une exploitation réelle. Elle impose aux agences fédérales civiles de corriger leurs systèmes avant le 20 novembre 2026. ## Six autres failles dans le même correctif L'avis du 6 novembre corrige aussi : - deux failles de l'interface d'administration, notées 8,8, qui permettent dans certaines conditions à un attaquant non authentifié d'effectuer des opérations non autorisées ; - des dépassements de tampon avant authentification dans les services SSL-VPN et TACACS+, qui peuvent provoquer un déni de service ; - un hachage de mots de passe trop faible sur les appliances virtuelles. Les deux failles de l'interface d'administration ont un score plus élevé que celle qui est exploitée. Il ne faut pas les remettre à plus tard. ## Les versions concernées et celles à installer - **SonicOS Gen7** : les versions 7.3.3-7015 et antérieures sont touchées. La correction est en **7.3.4-7013**. - **SonicOS Gen8** : les versions 8.2.2-8015 et antérieures sont touchées. La correction est en **8.2.3-8015**. Attention en lisant les numéros. En Gen7, la version corrigée a un numéro de build (7013) plus petit que celui de la dernière version vulnérable (7015). C'est le numéro de version qui compte : 7.3.4 contre 7.3.3. SonicWall précise qu'il n'existe aucun contournement : seule la mise à jour protège. ## Ce que vous pouvez vérifier À ce jour, SonicWall n'a publié ni indicateur de compromission ni description de l'attaque signalée. Il n'y a donc pas de signature officielle à chercher dans vos journaux. Les conditions décrites dans l'avis permettent quand même de cibler vos contrôles : - vérifiez si votre SSL-VPN utilise l'authentification SAML : c'est la seule configuration exposée à CVE-2026-19868 ; - relevez la version de SonicOS de chaque pare-feu, appliances virtuelles comprises ; - dans les journaux du SSL-VPN, examinez les sessions ouvertes avec une autre méthode d'authentification que SAML, puisque c'est par là que passe la faille. Une connexion de ce type sur un compte censé passer par SAML doit pouvoir s'expliquer ; - si vous trouvez de telles connexions, les identifiants utilisés ont pu être dérobés : il faut alors les renouveler en plus de mettre à jour. Cette alerte suit une série d'attaques contre les appliances d'accès distant SMA1000 de la marque. En juillet, deux failles zero-day ont servi à y installer des logiciels malveillants. En septembre, deux autres ont été combinées pour exécuter du code à distance. En octobre enfin, des chercheurs ont repéré des tentatives d'exploitation de CVE-2026-102255, une faille de gravité maximale. Cette fois, ce sont les pare-feu eux-mêmes qui sont visés, et la MFA censée protéger leur VPN n'y suffit plus. Tant que vos équipements ne sont pas à jour, c'est la mise à jour qui joue le rôle du second facteur. ## Sources - [SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks](https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/) — bleepingcomputer.com _Article rédigé avec assistance IA à partir des sources citées, relu et validé par un humain avant publication._ --- Page HTML équivalente : https://inyourgeek.com/articles/2026-11-07-sonicos-sept-failles-corrigees-dont-un-contournement-mfa-deja Publié par InYourGeek — https://inyourgeek.com/a-propos Méthode et garde-fous : https://inyourgeek.com/methode Tous les articles : https://inyourgeek.com/archives