VPN SonicWall : une faille qui contourne SAML et la double authentification est exploitée, alerte la CISA

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

La CISA a ajouté le 6 novembre 2026 la CVE-2026-19868, une faille du service VPN SSL des pare-feu SonicWall SonicOS, à son catalogue des vulnérabilités activement exploitées. Un utilisateur disposant d’identifiants valides pour une autre méthode de connexion peut éviter l’authentification SAML et la double authentification qu’elle impose ; des versions corrigées de SonicOS sont disponibles.

Ce qui s’est passé

SonicWall a publié le 6 novembre 2026 le bulletin de sécurité SNWLID-2026-0014, qui corrige plusieurs failles de SonicOS, le système de ses pare-feu Gen7 et Gen8. Le jour même, l’agence américaine CISA a inscrit l’une d’elles, la CVE-2026-19868, à son catalogue des vulnérabilités exploitées, en laissant aux administrations fédérales jusqu’au 20 novembre pour corriger. Dans son avis du 9 novembre, le CERT-FR précise que SonicWall signale une exploitation active.

Comment fonctionne la faille

D’après la fiche CVE rédigée par SonicWall, le service VPN SSL n’impose pas correctement la méthode d’authentification retenue. Une personne qui possède des identifiants valides pour une autre méthode, un compte local par exemple, peut se connecter sans passer par SAML, et donc sans la double authentification que SAML devait garantir. La CISA lui attribue une note de 7,5 sur 10. Concrètement, un mot de passe volé ou réutilisé ailleurs suffit à ouvrir une session VPN que l’entreprise croyait protégée par MFA.

Sont concernées les versions SonicOS 7.3.3-7015 et antérieures, ainsi que 8.2.2-8015 et antérieures. Le CERT-FR considère comme vulnérables les versions antérieures à 7.3.4-7013 et à 8.2.3-8015.

Que faire maintenant

1. Mettez à jour SonicOS en 7.3.4-7013 (Gen7) ou 8.2.3-8015 (Gen8), ou plus récent, en suivant le bulletin SNWLID-2026-0014.
2. Recensez les méthodes de connexion acceptées par le VPN SSL : supprimez les comptes locaux ou LDAP qui n’ont pas lieu de s’y connecter si SAML est votre norme.
3. Changez les mots de passe de tous les comptes autorisés sur le VPN, en commençant par les comptes d’administration et de service.
4. Examinez les journaux du VPN depuis octobre : sessions ouvertes sans étape SAML, adresses IP inhabituelles, connexions à des heures incongrues.
5. Si le portail VPN n’a pas besoin d’être ouvert à tout Internet, restreignez-le par pays ou par adresse source.

Notre avis

La double authentification ne protège un VPN que si tous les chemins d’accès y passent. Un vieux compte local gardé en secours suffit à ruiner le dispositif : faites l’inventaire des méthodes de connexion de vos équipements exposés avec le même soin que leurs mises à jour.

Sources

• CERT-FR — Multiples vulnérabilités dans SonicWall SonicOS (CERTFR-2026-AVI-1483)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-19868 (SonicWall SonicOS)
• CVE Program — CVE-2026-19868 record (SonicWall)

Comment nous choisissons, vérifions et rédigeons nos analyses →