CISA: SonicWall SMA1000 flaws now exploited by ransomware gangs

Exploitation active de vulnérabilités SonicWall SMA1000 par des groupes de ransomwares

Des groupes de cybercriminels exploitent activement deux vulnérabilités critiques affectant les passerelles d’accès distant sécurisé SonicWall SMA1000. Utilisées par de grandes entreprises et des agences gouvernementales, ces appliances sont devenues des cibles privilégiées pour le déploiement de malwares personnalisés (notamment KNUCKLEBALL, Sou5, ROOTRUN et ORANGETAIL). La CISA a intégré ces failles à son catalogue d’exploitations connues (KEV), confirmant leur usage récent dans des attaques de type ransomware.

Points clés :

• Historique : L’acteur malveillant “UTA0533” a commencé à exploiter ces failles dès le 22 juin, plusieurs semaines avant la divulgation publique.
• Exposition : Plus de 380 appliances SMA1000 restent potentiellement exposées en ligne.
• Risque : Les vulnérabilités permettent une intrusion directe sur les passerelles VPN, offrant un accès aux réseaux internes.

Vulnérabilités :

• CVE-2026-15409 : Faille critique de type SSRF (Server-Side Request Forgery).
• CVE-2026-15410 : Seconde vulnérabilité identifiée et exploitée conjointement.

Recommandations :

• Mise à jour immédiate : Installer sans délai les correctifs (hotfix) fournis par SonicWall pour remédier à ces failles.
• Application des directives CISA : Les organismes fédéraux ont été contraints de corriger leurs systèmes sous trois jours, une recommandation vivement conseillée à toutes les entreprises utilisant ces équipements.
• Veille de sécurité : Surveiller étroitement les journaux d’accès des appliances SMA1000 pour détecter toute activité suspecte ou présence de malwares persistants.

Source