Max severity SonicWall SMA1000 flaw now exploited in attacks

Exploitation active de la faille critique CVE-2026-102255 sur SonicWall SMA1000

Des attaquants exploitent actuellement une vulnérabilité de sévérité maximale affectant les passerelles d’accès distant SonicWall SMA1000, seulement quelques jours après la publication d’un correctif par l’éditeur.

Points clés :

• Cible : Modèles SMA1000 (6210, 7210, 8200v). Les séries SMA 100 et les firewalls SSL-VPN ne sont pas concernés.
• Méthode : Les attaquants utilisent des requêtes HTTP artisanales pour contourner l’authentification et interagir avec le service interne CouchDB (via _rewrite), tentant d’exécuter des opérations non autorisées.
• Contexte : Plus de 400 instances restent exposées sur Internet. SonicWall est une cible récurrente pour les groupes de ransomware, avec 19 vulnérabilités ajoutées au catalogue CISA des failles exploitées activement au cours des quatre dernières années.

Vulnérabilité :

• CVE-2026-102255 : Faille de type SSRF (Server-Side Request Forgery) permettant à un attaquant non authentifié d’envoyer des requêtes vers des fonctionnalités internes de l’appliance via l’interface WorkPlace.

Recommandations :

• Mise à jour immédiate : Appliquer sans délai le correctif publié par SonicWall pour corriger la faille CVE-2026-102255.
• Réduction de la surface d’attaque : Restreindre l’accès à l’interface de gestion et à l’interface WorkPlace des passerelles SMA1000 en limitant leur exposition directe sur Internet.
• Surveillance : Inspecter les logs pour détecter toute tentative de requête inhabituelle ciblant le service CouchDB ou utilisant des en-têtes d’autorisation par défaut (admin:admin).

Source