L’Agence de cybersécurité et de sécurité des infrastructures américaine (CISA) a officiellement ajouté CVE-2026-19868 à son catalogue des vulnérabilités connues et exploitées (KEV). Cette faille concerne le service SSLVPN de SonicWall SonicOS et permet, si l’on dispose de crédentiels pour une méthode d’authentification alternative, de contourner les contrôles SAML. Le risque est sérieux, car une exploitation réussie peut vraisemblablement désactiver les mécanismes d’authentification multi-facteurs (MFA) imposés par SAML.

CISA n’a pas évoqué l’usage de rançongiciels via ce vecteur précis, mais son inclusion dans le catalogue KEV témoigne d’une activité réelle sur le terrain. Les agences fédérales américaines disposent d’un délai jusqu’au 20 novembre 2026 pour mettre en œuvre les correctifs nécessaires.

Ce qui est touché : une brèche dans la chaîne d’authentification

Le cœur du problème réside dans une vulnérabilité d’application de l’authentification au sein du service SSLVPN de SonicOS. En termes simples, l’architecture permet à un utilisateur en possession de certaines informations d’identification de contourner les étapes d’authentification prévues. Selon les données techniques de NVD, cette faiblesse est cataloguée sous CWE-308. Ce type de faille est particulièrement insidieux car il ne nécessite pas nécessairement une attaque complexe ou une prise de contrôle totale au départ ; il suffit de disposer d’un accès initial, même limité, pour saboter les couches de sécurité subséquentes.

On peut comparer cela à un système de contrôle d’accès où, bien que le badge soit valide pour entrer dans le bâtiment, une mauvaise configuration du système permet de faire passer le badge sans vérifier si l’utilisateur porte le badge requis pour le bureau sensible.

La gravité réelle et les responsabilités

Bien que l’annonce ne confirme pas que le zéro-day soit actuellement utilisé par des groupes malveillants spécifiques (contrairement à des exemples plus récents cités par d’autres analyses), sa présence dans le KEV Catalog est une alerte rouge. Elle oblige les détenteurs d’actifs Internet exposés à évaluer immédiatement leur exposition. La CISA rappelle, via sa Directive Opérationnelle Contraignante (BOD) 26-04, que la priorisation doit se faire sur la base du risque, en exigeant une remédiation rapide des vulnérabilités listées.

En parallèle, d’autres incidents, comme ceux impliquant Ivanti avec des failles d’authentification bypass, montrent la prévalence de ces vecteurs d’attaque ; ces derniers avaient mené à des escalades de privilèges nécessitant des mises à jour rapides des versions ICS 25.1.1.3 et 22.8R2.6, pour illustrer la dynamique de la menace.

Que faire maintenant

La recommandation principale est claire : appliquer les mesures d’atténuation fournies par le fournisseur SonicWall. Si ces mesures ne sont pas disponibles, la directive suggère d’envisager la cessation totale de l’utilisation de ce produit, surtout si l’exposition à Internet est élevée. Pour les équipes DevOps et les administrateurs systèmes, cela passe par une vérification exhaustive des actifs qui exposent le SSLVPN et une mise en conformité avec les lignes directrices de patch management de la CISA.

Il faut maintenant surveiller comment les acteurs de la menace vont tenter de confirmer l’existence de cette voie de contournement dans des environnements réels.

Fiche technique

Données : NVD (NIST).

Sources

• CISA Adds One Known Exploited Vulnerability to Catalog, CISA, 3 novembre 2026
• Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain, SecurityWeek, 2 novembre 2026
• CVE-2026-19868, NVD (NIST)

Crédits photo

• Image en une : Free electronic cable image, par auteur inconnu, CC0, via Rawpixel via Openverse (recadrée)