Osegi
Sécurité·2 min de lecture

Faille VPN SonicWall CVE-2026-19868 : la double authentification contournée

Une faille de SonicOS déjà exploitée permet, avec des identifiants valides, d'éviter la double authentification sur le VPN SSL de SonicWall. Les VPN grand public sont épargnés.

A SonicWall firewall appliance in a server rack with a padlock icon symbolizing a VPN authentication bypass.
Image: 01net.com
SUMO Dialo ediviewer giftdetect

Une faille des pare-feu SonicWall, déjà exploitée par des attaquants, permet d'ouvrir une session VPN d'entreprise sans passer par la double authentification. Malgré le mot « VPN » dans l'alerte, ni les applications grand public ni les box internet ne sont concernées.

Référencée CVE-2026-19868, la vulnérabilité touche le service VPN SSL de SonicOS, le système des pare-feu SonicWall. Le fabricant l'a rendue publique le 6 novembre dans un bulletin de sécurité, avec une note de gravité de 7,1 sur 10. De nombreuses entreprises imposent une connexion via SAML, une authentification unique qui déclenche la double authentification. Avec des identifiants valides pour un autre mode de connexion, un attaquant peut contourner cette étape : un simple mot de passe suffit alors. Il s'agit d'une erreur de logique dans la vérification des accès, pas d'une attaque contre le chiffrement.

Un périmètre étroit

Sont visés les pare-feu de génération 7 (gammes TZ, NSa, NSsp et NSv) sous SonicOS 7.3.3-7015 ou antérieur, et ceux de génération 8 (TZ, NSa et NSv) sous 8.2.2-8015 ou antérieur, uniquement si la connexion SAML est activée pour le VPN SSL. Les salariés peuvent l'être indirectement : si leur entreprise utilise une telle configuration, leurs identifiants professionnels deviennent la clé d'entrée.

SonicWall affirme avoir enquêté sur un signalement d'exploitation possible, sans détailler les attaques. L'agence américaine CISA a ajouté la faille à son catalogue des vulnérabilités activement exploitées le jour de sa publication : les administrations fédérales ont jusqu'au 20 novembre, soit 14 jours, pour corriger. Le catalogue recense désormais 20 failles SonicWall. Ni le fabricant ni la CISA n'ont précisé le nombre d'organisations visées, ni si l'exploitation a précédé le correctif.

La seule parade : mettre à jour

Il n'existe aucun contournement. Il faut passer à SonicOS 7.3.4-7013 ou supérieur (génération 7), ou 8.2.3-8015 ou supérieur (génération 8). Le même correctif règle six autres failles, dont deux notées 8,8 sur 10 dans l'interface d'administration.

La mise à jour ne dit pas si quelqu'un est déjà entré. Les équipes informatiques doivent comparer les connexions VPN enregistrées par le pare-feu avec celles validées par le fournisseur d'identité : une session sans connexion SAML correspondante est un signal d'alerte. Côté salariés, mieux vaut ne jamais réutiliser son mot de passe professionnel, se méfier des pages de connexion reçues par e-mail et signaler toute demande de double authentification non déclenchée.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:sonicwallsonicosvpncve-2026-19868cisatwo-factor authentication

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →