Les SMA1000 vulnérabilités de SonicWall suscitent une inquiétude croissante : selon plusieurs acteurs de la recherche, des failles récemment découvertes sur des appliances d’accès distant sécurisées seraient déjà utilisées dans la chaîne d’attaque de groupes de ransomwares. L’enjeu est majeur, car les défauts permettent notamment à des assaillants non authentifiés d’ouvrir des connexions vers des services restreints, puis d’escalader leurs privilèges jusqu’à un niveau système élevé.
Ces constats s’appuient sur des observations menées depuis l’exploitation de ces vulnérabilités « en conditions réelles », avec des variantes de tactiques selon les groupes impliqués. Concrètement, les recommandations convergent : appliquer les correctifs dès que possible et mener des actions de chasse aux menaces pour repérer d’éventuels compromis.
Quelles sont les SMA1000 vulnérabilités repérées ?
Les deux vulnérabilités en question touchent des appliances SonicWall SMA1000 de type secure remote access. Elles sont suivies sous les identifiants :
- CVE-2026-15409 (score CVSS : 10)
- CVE-2026-15410 (score CVSS : 7,2)
D’après les analyses relayées, ces défauts permettent à des attaquants sans authentification d’initier un tunnel WebSocket vers des services qui seraient normalement limités. Une fois l’accès établi, l’adversaire peut augmenter ses privilèges et atteindre un contrôle de type root, ce qui facilite la suite de l’intrusion.
Quand les correctifs ont-ils été publiés ?
Les correctifs auraient été mis à disposition le 14 juillet. Le même jour, les deux failles ont été ajoutées au catalogue Known Exploited Vulnerabilities (KEV) de la CISA, ce qui traduit leur exploitation documentée dans des campagnes actives.
Signe supplémentaire de la rapidité de la compromission : les observations indiquent que les attaques auraient démarré comme zero-days dès au moins le 22 juin, donc avant la disponibilité des correctifs. Cela renforce la nécessité d’une gestion de correctifs réactive et d’un suivi continu des alertes de sécurité.
Des exploitations dès le terrain : que disent les observateurs ?
Plusieurs sources attribuent l’exploitation à des acteurs distincts. Une société de cybersécurité a notamment associé l’activité observée à un acteur suivi sous le nom UTA0533. Dans ce scénario, les données récupérées suggèrent une collecte d’identifiants sur les appliances compromises et le déploiement de fichiers malveillants. Toutefois, la progression vers d’autres machines à l’intérieur des réseaux visés aurait été plus limitée.
De son côté, une autre entreprise d’analyse observe des cas où les attaquants passent des dispositifs SMA1000 vers les réseaux internes. L’hypothèse avancée est qu’un backdoor aurait été déployé sur l’appliance compromise, facilitant ensuite le mouvement latéral.
Le ransomware INC en tête des activités observées
Au-delà de la pluralité des acteurs, une tendance ressort : parmi les groupes qui enchaînent les deux failles pour compromettre des appareils SMA1000, INC Ransomware apparaît comme l’entité la plus active, selon les informations compilées.
La société d’analyse indique qu’au début août 2026, l’activité du groupe se serait accélérée. Plusieurs nouvelles victimes auraient été publiées sur le Data Leak Site (DLS). Sur une période récente, des organisations du secteur privé et du secteur public, réparties dans plusieurs pays (par exemple les États-Unis, l’Australie, les Émirats arabes unis, la Colombie et la Suisse), y auraient été listées.
Des communications de victimes : messages et appels “d’assistance”
En plus du chiffrement et du vol de données, l’analyse fait état de comportements destinés à influencer la victime. Plusieurs victimes auraient reçu :
- des emails provenant d’une adresse associée à un domaine enregistré après la période d’exploitation, via un registraire basé en Chine ;
- des appels téléphoniques depuis des organisations inconnues, prétendant aider à gérer l’incident.
Dans un cas rapporté, l’appel provenait d’une personne se présentant sous le nom Andrew, en affirmant représenter un groupe de hackers. À la fin de l’échange, l’interlocuteur aurait fourni une adresse email (mentionnée comme point de contact pour des négociations), puis aurait mis fin à l’appel. Selon l’observateur, ce type de démarche s’inscrit dans des tactiques de pression fréquemment utilisées par des groupes de ransomware pour orienter la réaction de la victime.
Pourquoi ces failles posent un risque particulier ?
Les SMA1000 vulnérabilités sont particulièrement préoccupantes pour deux raisons. D’abord, l’accès ne nécessite pas d’authentification : cela abaisse le seuil d’entrée pour un attaquant. Ensuite, la possibilité d’escalader les privilèges vers un niveau système élevé rend la compromission exploitable, même si l’intrusion initiale se limite à une étape technique précise.
De plus, le fait que les failles figurent dans une liste dédiée aux vulnérabilités exploitées connues (KEV) indique que l’exploitation n’est pas théorique. Elle s’inscrit dans une réalité opérationnelle, avec des campagnes qui varient selon les objectifs : collecte d’identifiants, déploiement de charge utile, mise en place d’accès de secours ou progression vers l’environnement interne.
Recommandations : quoi faire dès maintenant
Face à ces constats, les utilisateurs d’appliances concernées sont invités à agir rapidement. Les points suivants reprennent les recommandations mises en avant par les observateurs :
1) Appliquer les correctifs sur les SMA1000
La mesure la plus immédiate consiste à patcher les appareils SMA1000 dès que possible. Comme les failles ont été exploitées avant publication dans certains cas, retarder la mise à jour augmente mécaniquement la fenêtre de vulnérabilité.
2) Réaliser une chasse aux menaces
En parallèle, il est recommandé d’effectuer une threat hunting pour détecter des signes de compromission. L’objectif est de confirmer si l’appareil a été touché, même après correctif, car des attaques peuvent laisser des traces persistantes.
3) Mettre en place un examen “DFIR” et des évaluations
Dans des cas rapportés, un accompagnement a inclus des actions de DFIR et des évaluations de vulnérabilités afin de contenir la cause racine de la compromission. Cette approche aide à structurer l’analyse, limiter la propagation et réduire le risque de récidive.
À quoi s’attendre dans les prochaines semaines ?
Comme les acteurs du ransomware continuent d’exploiter ces portes d’entrée, la probabilité d’autres campagnes demeure élevée. Les analyses suggèrent que les méthodes peuvent évoluer : exploitation directe, mise en place d’accès dérobé, collecte de données, puis utilisation de canaux de communication pour influencer la victime.
Par conséquent, une stratégie à double volet s’impose : réduction du risque technique (correctifs, configuration, vérifications) et surveillance (détection d’activité suspecte, investigation guidée par les indicateurs et les logs disponibles).
Conclusion
Les SMA1000 vulnérabilités de SonicWall, identifiées via CVE-2026-15409 et CVE-2026-15410, sont déjà intégrées dans des chaînes d’attaque ransomware. Les observations font état d’exploitations rapides, d’escalade de privilèges, puis de tactiques variées pour compromettre davantage d’environnements, avec INC Ransomware comme acteur particulièrement actif.
Pour limiter l’impact, la priorité reste la même : corriger sans délai, vérifier l’intégrité des appareils et mener une chasse aux menaces afin d’identifier toute compromission potentielle.
Source: https://www.securityweek.com/recent-sonicwall-vulnerabilities-exploited-in-ransomware-attacks/
