Faille SonicWall SMA 1000 : ce que ça change pour votre VPN

Si votre entreprise utilise un SonicWall SMA 1000, une simple mise à jour ne suffit pas à répondre à cette alerte. Le CERT-FR relaie deux vulnérabilités activement exploitées et des recommandations qui incluent la réinstallation du système, le changement des mots de passe et la réinitialisation des TOTP.[1]

Voici les points à faire vérifier par la personne qui administre vos accès distants, sans confondre correction d’une faille et traitement d’une éventuelle compromission.

Ce que dit l’alerte

Le 1er septembre 2026, SonicWall a publié un avis de sécurité concernant ses équipements Secure Mobile Access (SMA) 1000. Le CERT-FR a publié l’alerte CERTFR-2026-ALE-009 le 2 septembre.[1]

Deux vulnérabilités y sont décrites :

• CVE-2026-83548 : une vulnérabilité critique de falsification de requêtes côté serveur (SSRF), exploitable par un attaquant non authentifié.[1]
• CVE-2026-83549 : une vulnérabilité permettant à un attaquant authentifié avec les droits administrateur d’exécuter du code arbitraire à distance.[1]

Une SSRF permet de faire émettre au serveur des requêtes qu’il ne devrait pas effectuer. Ce n’est pas, à elle seule, la preuve qu’un attaquant peut prendre le contrôle complet du boîtier.

L’éditeur indique que les deux vulnérabilités sont activement exploitées. En revanche, l’alerte ne précise pas si un attaquant non authentifié peut les enchaîner pour prendre la main sur l’équipement. Il ne faut donc ni minimiser l’exploitation en cours, ni présenter cet enchaînement comme établi.[1]

Quels équipements sont concernés ?

L’alerte liste les modèles SMA1000 6210, 7210 et 8200v, avec les versions suivantes :[1]

• versions 12.5.x antérieures à 12.5.0-02952 ;[1]
• versions antérieures à 12.4.3-03526.[1]

Demandez à votre administrateur de relever le modèle exact, la branche logicielle et la version installée, puis de les comparer au bulletin de l’éditeur référencé par le CERT-FR. Ne choisissez pas une image de mise à jour sur la seule base de cet article.

Le nom du logiciel VPN installé sur un ordinateur ne suffit pas à identifier le boîtier utilisé. Faites confirmer la référence dans l’inventaire ou l’interface d’administration, plutôt que de conclure à partir d’un logo SonicWall.

Pourquoi la mise à jour seule ne suffit pas

Le CERT-FR est explicite : l’application des correctifs n’est pas suffisante. Il relaie les recommandations de SonicWall de réinstaller le système, changer tous les mots de passe utilisateurs et administrateurs, et réinitialiser les mots de passe à usage unique basés sur le temps, ou TOTP.[1]

Corriger une vulnérabilité ne démontre pas qu’aucune intrusion n’a eu lieu auparavant. De même, changer uniquement le mot de passe administrateur ne couvre pas l’ensemble des mesures mentionnées dans l’alerte.

La remise en sécurité doit donc être organisée avec votre administrateur ou votre prestataire, en suivant les instructions de SonicWall. Il ne s’agit pas de lancer une réinstallation à l’aveugle ou de promettre une interruption de quelques minutes : les conditions de reprise doivent être préparées pour votre installation.

Les actions à engager avec votre prestataire

1. Confirmer le périmètre sans attendre

Transmettez l’alerte CERT-FR à la personne responsable des accès distants. Demandez-lui de confirmer le modèle, la version installée et les mesures déjà réalisées. La mention « le VPN fonctionne » ne répond pas à la question de sa sécurité.

Si votre équipement est concerné, traitez cette alerte comme urgente plutôt que de la reporter à une maintenance de routine : l’exploitation active est signalée par l’éditeur.[1]

2. Préparer l’investigation avant une opération destructive

Le CERT-FR indique que les marqueurs de compromission s’obtiennent auprès du support technique de SonicWall.[1]

Demandez à votre administrateur de contacter ce support et de prévoir la conservation des journaux et éléments utiles à l’analyse avant une réinstallation. Cette précaution d’organisation complète les recommandations de l’alerte ; elle ne remplace pas la procédure de l’éditeur.

L’absence de connexion inhabituelle dans les seuls journaux VPN ne permet pas, à elle seule, de certifier que l’équipement est sain. Une investigation doit s’appuyer sur les indications du support, pas uniquement sur une recherche d’adresses IP inconnues.

3. Réaliser la remise en sécurité complète

Faites planifier les correctifs et les mesures complémentaires recommandées : réinstallation du système, changement de tous les mots de passe utilisateurs et administrateurs, réinitialisation des TOTP.[1]

L’ordre précis des opérations et les modalités de restauration doivent être confirmés avec SonicWall pour votre équipement. Prévoyez l’information des utilisateurs, le rétablissement de leurs accès et la vérification du fonctionnement après intervention.

4. Garder une trace de ce qui a été fait

Demandez un compte rendu indiquant la version finale, les opérations réalisées, le périmètre des renouvellements d’identifiants et les éventuels points restant à traiter. Une mention vague « mise à jour effectuée » ne suffit pas à documenter toutes ces actions.

Faut-il remplacer le VPN ?

Cette alerte ne justifie pas à elle seule de remplacer votre solution par une autre marque. La priorité est de vérifier si votre installation est concernée et d’appliquer les mesures de remise en sécurité adaptées.

Le renouvellement peut faire l’objet d’une discussion séparée : équipement encore maintenu, besoins d’accès distant, capacité à administrer les mises à jour et responsabilité du suivi. Changer de produit ne dispense pas d’organiser ce suivi.

Pour votre entreprise : une question concrète à poser

Vous n’avez pas besoin de maîtriser les références CVE pour engager la bonne démarche. Demandez à votre prestataire :

Utilisons-nous un SMA 1000 concerné par l’alerte CERTFR-2026-ALE-009 ? Si oui, quelles mesures avons-nous réalisées au-delà de la mise à jour, et avons-nous contacté SonicWall pour les marqueurs de compromission ?

Si personne n’est clairement responsable de ces vérifications, c’est aussi un sujet d’organisation à traiter. L’inventaire, la veille et le suivi des correctifs peuvent être cadrés dans une démarche d’infogérance.

Pour faire le point sur vos accès distants en Drôme ou en Ardèche, vous pouvez contacter Hugo Informatique. L’objectif est de clarifier votre situation et les actions nécessaires, sans vous déclarer protégé sur la seule présence d’une mise à jour.

Sources

[1] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-009 — CERT-FR : multiples vulnérabilités dans SonicWall Secure Mobile Access