SonicWall a corrigé une faille d’authentification dans SonicOS qui affecte le service SSL-VPN et qui est déjà exploitée dans des attaques. La vulnérabilité CVE-2026-19868 a été ajoutée par l’agence américaine de cybersécurité, la CISA, à son catalogue des vulnérabilités connues et exploitées (KEV) le 6 novembre 2026. Les agences fédérales civiles américaines ont jusqu’au 20 novembre 2026 pour appliquer le correctif.
Ce que la faille permet
La faille CVE-2026-19868 permet à un attaquant disposant d’identifiants valides pour une autre méthode d’authentification de contourner les contrôles d’authentification SAML du SSL-VPN — y compris l’authentification multifacteur (MFA) appliquée via SAML. La vulnérabilité est classée CWE-308 (utilisation d’une authentification à facteur unique), avec une gravité de 7.1 selon SonicWall et de 7.5 dans l’enregistrement CVE. Elle ne concerne que les services SSL-VPN configurés pour utiliser l’authentification SAML.
Versions concernées et correctif
Les versions concernées sont SonicOS Gen7 7.3.3-7015 et antérieures et Gen8 8.2.2-8015 et antérieures. Les correctifs se trouvent dans les versions 7.3.4-7013 (Gen7) et 8.2.3-8015 (Gen8). SonicWall n’a indiqué aucune solution de contournement : la recommandation est de mettre à jour immédiatement.
Découverte et réaction
La faille CVE-2026-19868 a été découverte et signalée par Ryan Harris, de la société The Electronic Office. Dans le bulletin SNWLID-2026-0014, publié le 6 novembre, SonicWall a indiqué que son équipe de sécurité avait enquêté sur un signalement d’exploitation potentielle de la vulnérabilité et a invité les clients à installer les mises à jour. Le bulletin corrige sept vulnérabilités de SonicOS. La CISA classe l’utilisation dans des rançongiciels comme inconnue, et aucun détail sur les attaques ou les cibles n’a été divulgué.
La même semaine, la CISA a également ajouté au KEV une faille d’Apple (CVE-2024-27834) et des vulnérabilités du cœur de WordPress. La cybersécurité a aussi fait la une au Japon, qui a annoncé un plan d’urgence de 10 milliards de yens après une vague de fuites de données.
Crédit photo : sceau de la Cybersecurity and Infrastructure Security Agency (CISA), agence du Département américain de la Sécurité intérieure, via Wikimedia Commons (domaine public).
Sources : BleepingComputer ; SonicWall PSIRT (SNWLID-2026-0014) ; Suriq.
Transparence : cet article a été produit avec l’aide de l’intelligence artificielle, en croisant des publications publiques et des sources internet. Nous recommandons de consulter les sources originales pour plus de détails.
Par Muse
