SonicWall SMA 1000 Zero-Day : les 22 jours du ransomware INC

SonicWall a confirmé que deux vulnérabilités zero-day critiques affectant ses appliances de la série SMA 1000 ont été activement exploitées par le groupe de ransomware INC pendant 22 jours avant qu’un correctif ne soit disponible. Ces failles, identifiées sous les références CVE-2026-15409 et CVE-2026-15410, ont toutes deux reçu le score de gravité CVSS maximal de 10,0, ce qui en fait l’un des incidents de vulnérabilité d’accès à distance les plus graves ayant touché les infrastructures VPN d’entreprise cette année.

Pour les organisations qui s’appuient sur les appliances Secure Mobile Access de SonicWall pour fournir à leurs employés un accès distant chiffré aux réseaux internes, cet incident rappelle à quel point la confiance placée dans un seul équipement de périphérie peut être grande, et combien cela peut coûter cher lorsque cette confiance est mal placée.

Ce qui s’est passé avec les zero-days de SonicWall SMA 1000

Les appliances SMA 1000 se trouvent en périphérie des réseaux d’entreprise, où elles authentifient les utilisateurs distants et acheminent leur trafic vers les systèmes internes. Cette position en fait une cible extrêmement attractive : une exploitation réussie ne compromet pas seulement un seul appareil, elle peut offrir aux attaquants un point d’ancrage dans l’ensemble de l’infrastructure d’une organisation.

Les CVE-2026-15409 et CVE-2026-15410 ont précisément offert ce type d’accès aux attaquants. Ces deux vulnérabilités affichent un score CVSS de 10,0, la note la plus élevée possible, ce qui reflète des failles exploitables à distance, nécessitant peu ou pas d’authentification et pouvant conduire à une compromission totale. Des articles antérieurs sur cet événement, notamment celui consacré aux failles zero-day SonicWall SMA exploitées pour déployer un logiciel malveillant personnalisé, décrivaient comment les attaquants ne se contentaient pas de pénétrer dans ces appareils, mais utilisaient cet accès pour installer des outils malveillants persistants conçus spécifiquement pour les appliances compromises.

Selon le suivi associé à cette campagne, l’activité d’exploitation a été retracée jusqu’au 22 juin, bien avant que SonicWall ou la communauté de la sécurité n’identifient publiquement le problème. Un autre rapport sur les zero-days SonicWall SMA actives depuis le 22 juin a détaillé la chronologie, montrant combien de temps les failles ont été exploitées dans la nature avant que la détection ne rattrape les attaquants.

Le ransomware INC et la fenêtre d’exploitation de 22 jours

Ce qui distingue cet incident d’une divulgation de vulnérabilité classique, c’est le lien direct avec le groupe de ransomware INC. INC a exploité les failles pendant 22 jours complets avant que SonicWall ne publie un correctif, offrant ainsi au groupe une longue période pour identifier des cibles, obtenir un accès et se déplacer latéralement au sein des réseaux touchés. Dans les opérations de ransomware, le temps de latence (la période entre l’accès initial et le moment où les défenseurs s’en aperçoivent) fait souvent la différence entre un incident maîtrisé et un chiffrement complet du réseau.

Une avance de 22 jours est considérable. C’est suffisant pour qu’un groupe bien doté en ressources cartographie le réseau d’une cible, localise des données précieuses et établisse des points d’accès de secours au cas où la vulnérabilité d’origine serait corrigée. Ce schéma rappelle une activité antérieure de l’acteur malveillant suivi sous le nom UTA0533, détaillée dans un rapport sur les hackeurs UTA0533 exploitant des zero-days SonicWall SMA, qui montrait que la gamme SMA de SonicWall a été une cible récurrente pour des attaquants sophistiqués sur une longue période, et pas un événement isolé.

Les conseils urgents émis par SonicWall lui-même, détaillés dans SonicWall SMA1000 zero-days sous attaque active : appliquez le correctif maintenant, ont souligné l’urgence à laquelle les administrateurs étaient confrontés une fois les vulnérabilités rendues publiques. L’entreprise a fortement incité ses clients à appliquer le correctif immédiatement, signe de la gravité de l’évaluation interne de ces failles.

Les enjeux de confidentialité pour les utilisateurs d’accès distant

Au-delà de l’angle du ransomware, cet incident comporte une dimension de confidentialité plus discrète mais tout aussi importante. Les appliances SMA traitent les identifiants, les jetons de session et le trafic de chaque employé distant qui s’y connecte. Une faille de score CVSS 10,0 à ce niveau signifie que les attaquants ont potentiellement eu une visibilité sur les données d’authentification et les schémas de trafic interne pendant des semaines, et pas seulement la capacité de déployer des charges de ransomware.

Pour les employés et les sous-traitants qui se connectent à distance pour travailler, ce type de compromission d’équipement de périphérie peut exposer des identifiants de connexion personnels, des données de session et potentiellement des communications sensibles transitant par l’appliance, même si le déploiement du ransomware a été le résultat le plus visible. Cette situation n’est pas propre à SonicWall ; une exposition similaire a récemment été observée avec la zero-day Check Point SmartConsole exploitée lors d’attaques, ce qui confirme que les outils de sécurité périmétrique de tous les éditeurs restent des cibles de grande valeur précisément en raison des données sensibles sur le plan de la vie privée qui y transitent.

Ce que cela signifie pour vous

Si votre organisation utilise des appliances SonicWall SMA 1000, la priorité immédiate est de vérifier que le correctif relatif aux CVE-2026-15409 et CVE-2026-15410 a bien été appliqué. Compte tenu de la fenêtre d’exploitation de 22 jours avant l’arrivée du correctif, il est également conseillé de considérer tout déploiement SMA 1000 comme potentiellement compromis durant cette période et d’examiner les journaux à la recherche d’activités d’authentification inhabituelles ou de connexions sortantes anormales.

Même si vous n’êtes pas directement chargé de la gestion de ces appliances, si votre employeur utilise les outils d’accès distant de SonicWall, il est raisonnable de demander aux équipes informatiques ou de sécurité si le correctif a été déployé et si des indicateurs de compromission ont été trouvés. Les utilisateurs individuels ne peuvent pas corriger eux-mêmes les appliances d’entreprise, mais changer les mots de passe VPN et d’accès distant après un incident confirmé comme celui-ci est une précaution de bon sens.

Points clés à retenir

Cet événement zero-day touchant les SonicWall SMA 1000 montre comment un seul équipement de périphérie peut devenir le point d’entrée d’une opération de ransomware avec des semaines d’accès non détecté. Un score CVSS de 10,0 sur deux CVE distinctes, associé à une exploitation confirmée par le ransomware INC pendant 22 jours, en fait l’un des incidents de sécurité d’accès distant les plus graves de l’année. Les organisations doivent vérifier que les correctifs sont appliqués, rechercher des signes de compromission remontant à la fenêtre d’exploitation et considérer les appliances de périmètre telles que les SMA 1000 comme des cibles de grande valeur nécessitant la même vigilance que tout système critique exposé sur Internet. Se tenir à jour des avis des éditeurs et appliquer rapidement les correctifs reste la défense la plus efficace contre le prochain zero-day qui suivra inévitablement celui-ci.