SonicWall vient de publier des correctifs pour huit vulnérabilités touchant deux produits. Parmi elles, plusieurs failles présentent une sévérité critique et peuvent, dans certains cas, permettre l’exécution de code à distance. L’éditeur indique ne disposer d’aucune preuve d’exploitation active « dans la nature », mais recommande d’appliquer les mises à jour rapidement.
Dans cet article, nous passons en revue ce qui est corrigé, quelles versions sont concernées et comment structurer votre démarche de mise à jour pour réduire au plus vite le risque.
Quelles vulnérabilités SonicWall corrige sur GMS
Le premier volet de l’annonce concerne Global Management System (GMS), la plateforme centralisée de gestion, de supervision et de reporting mise en avant par SonicWall. Le produit a été retiré en octobre 2025, mais des failles y ont tout de même été corrigées via une mise à jour logicielle.
Selon l’avis publié par l’éditeur, six défauts de sécurité ont été corrigés dans GMS. Deux d’entre eux retiennent particulièrement l’attention en raison de leur impact potentiel.
Deux failles à très fort impact (CVE-2026-66147 et CVE-2026-66145)
Les vulnérabilités CVE-2026-66147 et CVE-2026-66145 sont associées à des scores CVSS très élevés (9,4 et 9,1). SonicWall précise que ces failles pourraient permettre à des attaquants distants et non authentifiés d’exécuter du code arbitraire.
D’après l’advisory :
- CVE-2026-66147 : il s’agit d’un problème d’injection de commandes dans le GMS Dispatcher Service. L’exploitation pourrait se faire via des requêtes spécialement conçues.
- CVE-2026-66145 : une vulnérabilité d’exécution de code à distance pouvant entraîner une divulgation de données sensibles et aussi l’écriture arbitraire de fichiers. L’éditeur cite un mécanisme de type Zip Slip (lié au contenu des archives).
Versions concernées et version de correction
Ces vulnérabilités touchent les versions 9.5.1 et antérieures de GMS, à la fois pour l’appliance virtuelle et pour la variante Windows. SonicWall indique que le correctif est inclus dans la version 9.5.2 de GMS.
En complément, la mise à jour corrige également d’autres risques identifiés par l’éditeur, notamment :
- des problèmes de validation insuffisante des certificats (sévérité élevée),
- des défauts dans la gestion d’objets sérialisés pouvant conduire à des changements et actions non autorisés.
Des correctifs critiques aussi pour Email Security
En parallèle de GMS, SonicWall déploie des correctifs pour deux nouvelles failles classées à sévérité élevée dans Email Security. Ces vulnérabilités concernent des scénarios d’injection de code susceptibles de mener à une exécution de commandes au niveau du système d’exploitation, avec des privilèges root.
Les deux défauts mentionnés par SonicWall sont :
- CVE-2026-66149
- CVE-2026-66150
Impact technique et périmètre des appareils
Les vulnérabilités touchent la gamme ES Appliance (notamment les modèles 5000, 5050, 7000, 7050 et 9000) ainsi que des déploiements sur VMware et Hyper-V.
Selon les informations communiquées, les correctifs sont disponibles dans la version Email Security 10.0.36. C’est donc cette version qu’il faut viser pour éliminer le risque lié à ces deux CVE.
Ce que les administrateurs doivent faire maintenant
SonicWall souligne ne pas avoir observé d’exploitation de ces vulnérabilités dans le monde réel. Toutefois, l’absence de preuve d’attaque ne doit pas retarder la remédiation : les failles à exécution de code à distance sont précisément celles que les acteurs malveillants ciblent lorsqu’elles deviennent disponibles.
Voici une démarche simple, axée sur l’efficacité, pour appliquer les correctifs critiques sans perturber vos services.
1) Vérifiez vos versions et votre inventaire
Commencez par lister tous les systèmes concernés. Pour GMS, identifiez s’il s’agit de l’appliance virtuelle ou de l’instance Windows, et vérifiez si la version est 9.5.1 ou antérieure. Pour Email Security, contrôlez les modèles ES Appliance et les environnements VMware/Hyper-V, puis comparez vos versions avec 10.0.36.
2) Planifiez une mise à jour avec fenêtre de maintenance
Même si l’objectif est la rapidité, la mise à jour doit rester maîtrisée. Préparez un plan de déploiement par lots, en commençant par les environnements les moins critiques lorsque c’est possible. Pensez aussi à la restauration (backups, points de reprise) avant de lancer le changement.
3) Validez après installation
Une fois la mise à jour terminée, confirmez que les composants attendus fonctionnent correctement (services GMS, flux de sécurité et traitement email côté Email Security). Si vous disposez de tests de non-régression, exécutez-les pour valider que le correctif n’a introduit aucun effet secondaire.
4) Documentez et conservez les preuves
Gardez une trace de vos actions : versions déployées, dates, procédures utilisées et résultats de tests. Cette documentation aide autant pour l’audit interne que pour le suivi sécurité.
Pourquoi ces correctifs sont importants, même pour un produit retiré
Le cas de GMS est particulièrement instructif : la plateforme a été retirée en octobre 2025, pourtant SonicWall publie tout de même des correctifs pour des failles découvertes ou rendues exploitables. Cela montre que la surface d’attaque ne disparaît pas automatiquement avec le retrait d’un produit.
Si des instances subsistent dans votre parc, elles restent une cible potentielle. Par conséquent, vos politiques de cycle de vie (déploiement, migration, fin de vie) doivent intégrer des étapes de remédiation et de réduction du risque, même après le retrait commercial.
Sources d’informations complémentaires
Pour les détails techniques supplémentaires, SonicWall renvoie vers sa page d’advisories sécurité. C’est là que vous pouvez retrouver les informations utiles au contexte de chaque CVE, ainsi que les recommandations spécifiques associées à vos configurations.
Conclusion
SonicWall publie des correctifs critiques visant deux produits clés : GMS et Email Security. Dans GMS, deux vulnérabilités (dont une injection de commandes et une faille menant à l’exécution de code à distance) peuvent impliquer des attaquants distants non authentifiés. Pour Email Security, deux défauts d’injection de code pourraient aboutir à une exécution de commandes avec privilèges élevés.
Même sans preuve d’exploitation à grande échelle, l’action reste prioritaire : mettez à jour respectivement vers GMS 9.5.2 et Email Security 10.0.36, puis validez le bon fonctionnement de vos environnements.
