Critical SonicWall SMA 1000 Flaw Targeted in 135 Exploitation Attempts After Patch

Exploitation active de la faille critique dans les appliances SonicWall SMA 1000

Des attaquants exploitent activement une vulnérabilité critique de type SSRF (Server-Side Request Forgery) affectant les appliances SonicWall SMA 1000, seulement deux jours après la publication des correctifs. Bien que le constructeur ait diffusé des mises à jour le 6 octobre 2026, des tentatives d’exploitation ont été détectées dès le 8 octobre, avec au moins 135 tentatives enregistrées à ce jour.

Points clés :

• Nature de la menace : Une vulnérabilité de type SSRF pré-authentification permet à un attaquant distant d’effectuer des requêtes non autorisées au sein de l’infrastructure interne.
• Historique : Cette série d’attaques s’inscrit dans un contexte de ciblage récurrent des produits SonicWall, déjà exploités précédemment par le groupe UTA0533 pour déployer des web shells et des malwares.
• Objectif des attaquants : L’accès initial aux appliances est utilisé pour exfiltrer des identifiants, des bases de données de sessions actives et des clés de configuration MFA (TOTP), facilitant ainsi le mouvement latéral vers le réseau interne de l’entreprise.

Vulnérabilité identifiée :

• CVE-2026-102255 : Score CVSS de 10.0 (Critique).

Recommandations :

• Application immédiate des correctifs : Mettre à jour sans délai les appliances SMA 1000 vers les versions corrigées fournies par SonicWall :
  • Version 12.4.3-03670 (platform-hotfix)
  • Version 12.5.0-03082 (platform-hotfix)
• Surveillance : Inspecter les logs réseau pour détecter des requêtes suspectes en provenance de l’appliance vers les ressources internes.
• Sécurité post-compromission : En cas d’exposition prolongée avant correctif, procéder à une réinitialisation des accès, des secrets TOTP et surveiller toute activité anormale de mouvement latéral sur le réseau interne.

Source