SonicWall ne corrigera pas les failles sur ses systèmes GMS obsolètes
SonicWall a émis un avertissement concernant deux failles de sécurité qui touchent ses systèmes de Global Management System (GMS) arrivés en fin de vie. Le fournisseur a été clair : aucune correction ne sera distribuée pour ces vulnérabilités, forçant les utilisateurs à une migration immédiate. Les failles concernent les versions GMS 9.5.2 et antérieures.
L’une des failles, CVE-2026-109593, est une vulnérabilité de lecture de fichier non authentifiée. Un attaquant ayant accès au réseau pourrait lire des fichiers internes du GMS, exposant potentiellement des informations sensibles. Selon le NVD, cette faille affiche un score CVSS de 9,1, ce qui la classe comme critique.
Le second défaut, CVE-2026-109594, est une faille d’injection SQL. Elle nécessite une authentification préalable, mais si un attaquant parvient à se connecter, il pourrait accéder ou modifier les données stockées dans la base de données du GMS, bien que son score CVSS soit de 6,8.
La menace réelle sur le terrain
Ce refus de patcher n’est pas un exercice théorique. L’urgence est amplifiée par le contexte récent. Peu de temps après l’annonce de ces failles, SonicWall avait déjà publié des correctifs pour CVE-2026-102255, une faille SSRF critique (CVSS 10,0) qui était déjà en exploitation active. Des données de télémétrie de Previdian ont d’ailleurs enregistré 2 541 tentatives d’attaque provenant de huit adresses IP différentes, basées en Singapour et aux États-Unis, depuis le 9 octobre 2026. On compte jusqu’à 30 tentatives le 3 novembre 2026. Difficile de ne pas y voir un scénario d’exploitation ciblé contre les systèmes non mis à jour.
Ce qui est touché et qui doit agir
Les appareils GMS 9.5.2 et les versions précédentes sont en péril. L’avis de SonicWall est catégorique : les organisations utilisant cette plateforme obsolète doivent impérativement migrer vers le Network Security Manager (NSM). L’enjeu dépasse la simple perte de données. L’injection SQL, par exemple, permet une manipulation des données internes, ouvrant la porte à des failles de configuration déguisées.
Étant donné la politique de non-correction de SonicWall, la réponse doit être proactive. Si une migration vers NSM n’est pas réalisable immédiatement, les équipes de sécurité doivent isoler drastiquement ces systèmes de GMS des réseaux externes et internes non critiques. Il faut considérer ces appareils comme des points de rupture potentiels. Surveiller attentivement les communications des fournisseurs alternatifs, car le temps pour une correction officielle a expiré.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-102255 | — | Critique (CVSS 10,0) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-109593 | — | Critique (CVSS 9,1) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-109594 | — | Moyenne (CVSS 6,8) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- SonicWall Won’t Patch EoL GMS Flaws That Could Expose Files, Alter Database Records, The Hacker News, 4 novembre 2026
- SonicWall warns of unpatched flaws in end-of-life GMS software, BleepingComputer, 4 novembre 2026
- GHSA-xww4-pc4h-x9hj : A Pre-authentication SSRF vulnerability exists in the SMA1000 Appliance Work Place…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-102255, NVD (NIST)
- GHSA-78qh-wc3p-gpj2 : An unauthenticated attacker with network access to the SonicWall GMS 9.5.2 and earlier…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109593, NVD (NIST)
- GHSA-w3p9-mvmw-xhwm : Post-authentication Improper Neutralization of Special Elements used in an SQL Command…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-109594, NVD (NIST)
