Le groupe INC Ransomware exploite en masse deux failles SonicWall SMA1000 corrigées depuis juillet

SonicWall a publié le 14 juillet des correctifs pour deux failles critiques de sa gamme SMA1000, les boîtiers qui gèrent l'accès VPN distant de nombreuses PME. Depuis le début du mois d'août, le groupe de rançongiciel INC s'est imposé comme l'acteur dominant sur ces failles. Selon Resecurity, cité par The Hacker News et SecurityWeek, le groupe a accéléré ses attaques début août. Il a listé de nouvelles victimes sur son site de fuite de données, la dernière datée du 2 août.

Deux failles, une porte d'entrée

La première, CVE-2026-15409, note maximale de 10 sur l'échelle CVSS, est une falsification de requête côté serveur (SSRF) dans l'interface Appliance Work Place. Elle ne demande aucune authentification : un attaquant distant peut forcer le boîtier à effectuer des requêtes vers des adresses internes ou externes de son choix. La seconde, CVE-2026-15410, notée 7,2, est une injection de code après authentification dans la console d'administration : un administrateur distant déjà connecté peut exécuter des commandes système arbitraires. Chaînées, les deux permettent un accès complet à l'appliance sans mot de passe valide au départ.

Les modèles concernés sont les SMA 6210, 7210 et 8200v, sur les versions antérieures à 12.4.3-03453 et 12.5.0-02835. Le CERT-FR a publié une alerte de niveau maximal, CERTFR-2026-ALE-006, le 15 juillet — un classement qu'il réserve aux dossiers où l'exploitation est confirmée et le risque immédiat.

Le correctif est arrivé après l'attaque, pas avant

Ce qui rend ce dossier particulier : les deux failles étaient déjà exploitées en zero-day avant que SonicWall ne publie de correctif. Plusieurs chercheurs, dont l'équipe Rapid7 MDR, ont retracé une exploitation active remontant au moins au 22 juin, soit trois semaines avant la disponibilité du patch. Autrement dit, un boîtier mis à jour dès le 14 juillet a pu être compromis avant même de recevoir le correctif.

Cela change la nature de l'action à mener. Appliquer la mise à jour aujourd'hui protège contre de nouvelles attaques, mais ne dit rien sur ce qui s'est peut-être déjà passé entre fin juin et le patch.

Ce qu'il faut faire

1. Vérifiez la version installée sur votre SMA1000. En dessous de 12.4.3-03453 (branche 12.4.x) ou 12.5.0-02835 (branche 12.5.x), le boîtier est vulnérable aux deux failles.
2. Si la mise à jour n'a pas encore été faite, elle est prioritaire sur toute autre tâche IT de la journée — la faille SSRF ne demande aucune authentification.
3. Si votre boîtier a été exposé sur Internet entre fin juin et le 14-15 juillet sans avoir été mis à jour depuis, recherchez des signes de compromission avant de vous limiter au correctif. BleepingComputer cite quatre indices à vérifier dans les journaux : des requêtes /__api__/login ou /__api__/logout avec un code retour 200 en dehors des connexions normales ; des requêtes /wsproxy pointant vers des hôtes suspects ; des restaurations de correctif avec des chemins de fichiers anormaux ; des routes non reconnues dans la configuration.
4. Le CERT-FR recommande, en cas d'indice de compromission, de ne pas se contenter du correctif : réinstaller le système, changer tous les mots de passe liés au boîtier, et réinitialiser les codes de double authentification (TOTP).
5. Si l'accès VPN SonicWall est géré par un prestataire infogéré, la question à lui poser aujourd'hui est directe : le boîtier est-il en 12.4.3-03453 / 12.5.0-02835 ou supérieur, et les journaux d'accès de fin juin à mi-juillet ont-ils été vérifiés ?

SonicWall n'a pas publié de décompte du nombre de boîtiers encore vulnérables. Le fait que INC Ransomware continue, début août, à revendiquer de nouvelles victimes par cette voie indique qu'une partie du parc n'a toujours pas été corrigée trois semaines après la sortie du correctif.