CVE-2026-15409 et CVE-2026-15410 : la chaîne wsproxy qui a transformé des VPN SonicWall SMA 1000 en portes d'entrée pour INC Ransomware

Rapport CTI technique du 12 août 2026

Résumé exécutif

Le 14 juillet 2026, SonicWall publiait l'avis SNWLID-2026-0008 pour deux vulnérabilités critiques touchant sa gamme SMA 1000, des concentrateurs VPN SSL d'entreprise. La première, CVE-2026-15409, notée 10.0 sur l'échelle CVSS, est un contournement pré-authentification de l'endpoint /wsproxy qui permet à un attaquant non authentifié d'ouvrir un tunnel WebSocket vers des services normalement réservés à localhost. La seconde, CVE-2026-15410, notée 7.2, est une faille de traversée de répertoire dans le workflow remove_hotfix de ctrl-service, qui permet de faire exécuter un script arbitraire en tant que root. Chaînées, ces deux failles transforment une simple requête HTTP non authentifiée en compromission root complète de l'appliance. Volexity a observé une exploitation pré-divulgation dès le 22 juin 2026, près de trois semaines avant l'avis officiel, par un acteur suivi sous le nom UTA0533.

Depuis, Rapid7 a documenté un recoupement significatif de tactiques entre cette activité pré-divulgation et des intrusions ultérieures, et INC Ransomware s'est imposé comme l'acteur dominant qui arme aujourd'hui la chaîne complète pour ses opérations d'extorsion. Resecurity recense de nouvelles victimes publiées sur le site de fuite du groupe entre le 17 juillet et le 1er août 2026, réparties entre secteur privé et organisations gouvernementales en Australie, aux États-Unis, aux Émirats arabes unis, en Colombie et en Suisse. Pour les équipes de sécurité qui exploitent des SMA 1000 en frontal Internet, le message est sans ambiguïté : un correctif appliqué ne suffit pas à garantir la remédiation, puisque les appareils compromis avant le patch conservent des implants mémoire résidents capables de survivre à une mise à jour superficielle.

Chronologie

Fiche vulnérabilité (format fiche CTI)

CVE-2026-15409 | CVSS 10.0 (SSRF pré-authentification, sans interaction utilisateur) | SonicWall SMA 1000 (SMA 6210, SMA 7210, SMA 8200v, CMS), endpoint /wsproxy de l'interface Workplace

L'endpoint /wsproxy expose un proxy WebSocket-vers-TCP censé ne servir qu'aux clients légitimes SMA Connect. Le contrôle d'accès repose uniquement sur des métadonnées fournies par le client lui-même : un en-tête User-Agent contenant la chaîne "SMA Connect Agent" et un paramètre d'URI bmID commençant par -3389. Ces deux valeurs sont triviales à falsifier. En les envoyant dans une requête de mise à niveau WebSocket avec des paramètres host et port arbitraires, un attaquant non authentifié établit un tunnel vers des services normalement liés exclusivement à l'interface localhost, en particulier CouchDB et les services Erlang sur le port 1050, ou ctrl-service sur le port 8188. Conditions d'exploitation : accès réseau à l'appliance exposée, aucune authentification ni session VPN valide requise. PoC disponible : oui, publié publiquement par Rapid7 sur GitHub (remmons-r7/rapid7-CVE-2026-15409). Patch/mitigation : mise à niveau vers le firmware 12.4.3-03453 ou 12.5.0-02835 et versions ultérieures ; aucun contournement de configuration n'existe.

CVE-2026-15410 | CVSS 7.2 (traversée de répertoire post-authentification interne, escalade vers root) | SonicWall SMA 1000, workflow remove_hotfix de ctrl-service, endpoint POST /rollbackConfirm.action

Le service ctrl-service, accessible une fois le tunnel de CVE-2026-15409 établi, expose un workflow de suppression de hotfix qui concatène le chemin fourni par l'appelant au répertoire de travail /var/lib/aventail/avp/rollback/ sans normalisation ni confinement chroot. Une séquence de traversée telle que ../../../../../tmp/1234.sh permet de sortir du répertoire prévu et de désigner un script préalablement déposé par l'attaquant via CouchDB. Le workflow applique ensuite un chmod exécutable sur ce fichier puis le lance via bash, avec les privilèges root du processus ctrl-service. Conditions d'exploitation : accès préalable à ctrl-service, généralement obtenu via le tunnel WebSocket de CVE-2026-15409, donc pas d'authentification VPN classique nécessaire dans la chaîne observée. PoC disponible : non publié publiquement en tant que tel, mais la mécanique complète (requête POST /rollbackConfirm.action avec paramètre hotfix contenant la traversée) a été documentée par Resecurity à partir d'artefacts d'incident réel. Patch/mitigation : même mise à niveau firmware que CVE-2026-15409 ; les deux failles sont corrigées dans la même chaîne de versions.

Diagramme de la chaîne d'attaque

Chaîne reconstruite à partir de l'analyse technique de Resecurity, complétée par les avis SonicWall, Rapid7 et eSentire référencés en sources.

Analyse technique

Étape 1 : contournement pré-authentification via /wsproxy (CVE-2026-15409)

L'attaquant envoie une requête de mise à niveau WebSocket vers /wsproxy avec un en-tête User-Agent "SMA Connect Agent", un paramètre bmID=-3389 falsifié, et des paramètres host=0.0.0.0 (ou 127.0.0.1) et port=1050 ou port=8188. Le frontal NGINX classe à tort cette requête comme provenant d'un client SMA Connect légitime et ouvre la connexion TCP sortante lui-même, ce qui fait que la requête aboutit avec une origine loopback aux yeux des services backend.

Étape 2 : établissement du tunnel vers CouchDB et exécution en tant qu'utilisateur couchdb

Une fois le tunnel WebSocket établi, l'attaquant communique directement avec CouchDB, qui s'exécute sous le compte couchdb (uid 1010) dans /opt/couchdb et expose des primitives de lecture/écriture de fichiers via son API. Le PoC public de Rapid7 démontre l'obtention d'une exécution de commande dans ce contexte, confirmée par whoami && id && pwd && hostname retournant couchdb. Ce n'est pas encore un accès root, mais l'attaquant dispose désormais d'un pied à terre stable sur l'appliance.

Étape 3 : mise en scène du payload et traversée de répertoire vers root (CVE-2026-15410)

L'attaquant écrit un script mis en scène (observé sous le nom /tmp/1234.sh) via CouchDB, puis déclenche son exécution en invoquant sysCtrl.execRemoveHotfix avec un paramètre hotfix contenant une séquence de traversée. La requête POST /rollbackConfirm.action atteint ctrl-service, qui construit un chemin non normalisé, résout hors du répertoire de hotfix prévu, applique un chmod exécutable au script de l'attaquant et le lance via bash avec les privilèges root du processus, suivi typiquement d'un redémarrage (shutdown -r now). Les enquêteurs ont retrouvé l'exploit d'escalade encodé sous /tmp/hypdate.b64, appartenant au compte non privilégié couchdb, preuve que ce compte a bien servi de relais d'écriture et d'exécution.

Étape 4 : déploiement du kit d'implants ROOTRUN, KNUCKLEBALL, Suo5 et ORANGETAIL

Avec l'accès root en main, l'attaquant déploie ROOTRUN (/usr/bin/xzfind), un binaire ELF setuid qui offre une porte dérobée persistante d'escalade locale utilisable même après suppression des autres implants. Il installe ensuite KNUCKLEBALL (/usr/lib/python3.11/site-packages/deploy_new.py), un loader Python qui décode deux archives JAR embarquées en base64, localise le processus JVM légitime workplace.startup.CommandStartup en énumérant /proc//cmdline, puis utilise l'API Java Attach pour injecter ces archives comme agents d'instrumentation directement dans ce processus de confiance. Les deux agents injectés sont Suo5, un proxy HTTP de tunneling détourné, et ORANGETAIL, un webshell Java mémoire-résident calqué sur Behinder 3.x, chiffré en AES-128-ECB et qui ne répond qu'aux requêtes portant un User-Agent délibérément incohérent (Windows NT 11.0 combiné à Chrome 149, une combinaison qui n'existe pas dans la nature et constitue un signal de détection fiable).

Étape 5 : persistance, dissimulation forensique et récolte de identifiants

KNUCKLEBALL ajoute son propre lancement à /etc/init.d/workplace pour survivre à un redémarrage, et réécrit /var/lib/unit/conf.json pour exposer les points d'entrée des implants sous des routes d'apparence anodine (/api/login et /api/logout, qui n'existent pas dans une configuration légitime). Les journaux des agents sont vidés puis symlinkés vers /dev/null pour effacer les traces d'exécution. Sur une deuxième appliance compromise, les attaquants ont déployé /var/tmp/lib.sh pour lancer tcpdump sur le port 389, interceptant en clair des identifiants LDAP transmis entre l'appliance et les services d'annuaire internes, une activité de récolte de identifiants poursuivie même après l'obtention de l'accès root.

Indicateurs de compromission

MITRE ATT&CK

Aucune cartographie ATT&CK officielle et exhaustive de cette chaîne n'a été publiée par SonicWall, Volexity ou Rapid7 au moment de la rédaction. Le tableau suivant est une lecture technique construite à partir des artefacts et du comportement documentés par Resecurity, pas une attribution vendeur.

Remédiation : checklist opérationnelle

1. Mettre à niveau sans délai toute appliance SMA 6210, 7210, 8200v ou CMS vers le firmware 12.4.3-03453 ou 12.5.0-02835 (ou version ultérieure) : il n'existe aucun contournement de configuration.
2. Traiter tout SMA 1000 exposé à Internet avant le 14 juillet 2026 comme potentiellement compromis, indépendamment de l'application du correctif : les implants Suo5, ORANGETAIL et ROOTRUN sont mémoire-résidents ou de type setuid et peuvent survivre à une mise à jour firmware superficielle.
3. Rechercher activement les artefacts documentés sur les appliances concernées : /usr/bin/xzfind, /usr/lib/python3.11/site-packages/deploy_new.py, /tmp/agent_wp8.jar, /tmp/agent_wp9.jar, et les modifications de /etc/init.d/workplace et /var/lib/unit/conf.json.
4. En cas de détection d'un indicateur quelconque, ne pas se contenter d'un nettoyage manuel : réimager le matériel physique ou redéployer les appliances virtuelles, conformément à la recommandation SonicWall pour ce type de compromission root persistante.
5. Réinitialiser l'ensemble des identifiants utilisateurs et administrateurs ayant transité par l'appliance, ainsi que les jetons TOTP, en cas de signe de compromission.
6. Auditer les journaux extrawebaccess.log et extraweb_access.log pour repérer des requêtes historiques vers /api/login, /api/logout et /wsproxy avec des paramètres host ou serviceType suspects, y compris pour la période antérieure au 14 juillet 2026.
7. Migrer le trafic LDAP interne vers LDAPS ou StartTLS pour neutraliser la capture en clair des identifiants d'annuaire, un vecteur de récolte confirmé dans cette campagne.
8. Former les équipes de gestion de crise à reconnaître les tactiques de pression d'INC Ransomware, notamment les appels téléphoniques d'individus se présentant comme des tiers négociateurs et les domaines d'extorsion enregistrés avant même la divulgation publique de l'incident.

Sources

• SonicWall CVE-2026-15409 and CVE-2026-15410 zero-day exploited - Tenable
• SonicWall Discloses Two Zero-Day Vulnerabilities (CVE-2026-15409, CVE-2026-15410) - eSentire
• INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws - The Hacker News
• From WSProxy to Root: INC ransomware and SonicWall SMA Exploit Chain - Resecurity
• Rapid7 MDR Team Discovers New SonicWall SMA1000 Zero Days being Actively Exploited (CVE-2026-15409, CVE-2026-15410) - Rapid7
• Volexity Uncovers Zero-Day Campaign Targeting SonicWall VPN Appliances - Security Affairs
• SonicWall SMA1000 flaws exploited as zero-days to push custom malware - BleepingComputer