Rapport CTI technique du 24 juillet 2026
Résumé exécutif
SonicWall a confirmé l'exploitation active, depuis au moins le 22 juin 2026, de deux vulnérabilités zero-day affectant les appliances SMA1000 (modèles 6210, 7210 et 8200v) : CVE-2026-15409, une SSRF pré-authentification notée CVSS 10.0 (CWE-918) logée dans l'interface Work Place, et CVE-2026-15410, une injection de commande CVSS 7.2 dans la console d'administration nécessitant des privilèges administrateur. Chaînées, ces deux failles permettent à un attaquant non authentifié distant d'atteindre des services liés à l'interface locale de l'appliance puis d'exécuter des commandes système avec des privilèges administratifs, sans interaction utilisateur. Rapid7 MDR a été le premier à documenter l'exploitation en conditions réelles, et CISA a ajouté les deux CVE à son catalogue KEV avec une échéance de remédiation fixée au 17 juillet 2026.
L'exploitation observée dépasse la simple prise de contrôle de l'appliance : les attaquants, dont l'activité a été rattachée à un acteur lié à l'opération de ransomware Inc, ont utilisé les appliances SMA1000 compromises comme point de pivot pour voler des identifiants, des données de session, et même des graines TOTP (multi-facteur), avant de se déplacer latéralement vers les contrôleurs de domaine internes. Aucun contournement n'existe : SonicWall recommande l'application immédiate des hotfix 12.4.3-03453 ou 12.5.0-02835. L'absence de workaround, combinée à l'exposition Internet typique de ces passerelles d'accès distant, en fait une cible prioritaire pour toute organisation utilisant du SMA1000 en frontal VPN d'entreprise.
Chronologie
| Date | Événement |
|---|---|
| ~22 juin 2026 | Début de l'exploitation zero-day observée (rétrospectivement, selon Rapid7 et Tenable) |
| Début juillet 2026 | Rapid7 MDR détecte une activité suspecte sur des appliances SMA1000 clientes et alerte SonicWall |
| 8 juillet 2026 | SonicWall publie un avis de sécurité et les hotfix correctifs (12.4.3-03453, 12.5.0-02835) |
| 14-15 juillet 2026 | Publications techniques détaillées (Tenable, Sophos, Horizon3.ai, Security Boulevard) |
| 15 juillet 2026 (mardi) | CISA ajoute CVE-2026-15409 et CVE-2026-15410 au catalogue KEV |
| 17 juillet 2026 | Échéance de remédiation CISA pour les agences fédérales (BOD 26-04) |
Fiche vulnérabilité (format fiche CTI)
CVE-2026-15409 | CVSS 10.0 (Critique) | SonicWall SMA1000 - interface Work Place (modèles 6210, 7210, 8200v)
Description technique : SSRF pré-authentification (CWE-918) permettant à un attaquant distant non authentifié de forcer l'appliance à émettre des requêtes vers des destinations non prévues, notamment des services liés à l'interface locale normalement inaccessibles depuis l'extérieur. Conditions d'exploitation : accès réseau à l'interface Work Place exposée, aucune authentification requise, aucune interaction utilisateur. PoC disponible : non publié publiquement au moment de la rédaction, mais exploitation confirmée en conditions réelles par Rapid7 MDR et Tenable. Patch/mitigation : hotfix 12.4.3-03453 ou 12.5.0-02835 ; aucun contournement de configuration ne referme la faille, seule la mise à jour logicielle est efficace.
CVE-2026-15410 | CVSS 7.2 (Élevé) | SonicWall SMA1000 - console d'administration (Appliance Management Console)
Description technique : injection de commande dans la console de gestion permettant l'exécution de commandes système arbitraires. Conditions d'exploitation : nécessite initialement un compte de niveau administrateur, ce qui en fait une vulnérabilité de post-exploitation utilisée en seconde étape d'une chaîne, l'accès administrateur pouvant être obtenu via SSRF ou par vol d'identifiants. PoC disponible : non publié publiquement ; exploitation confirmée en chaîne avec CVE-2026-15409. Patch/mitigation : même hotfix que CVE-2026-15409 (12.4.3-03453 ou 12.5.0-02835).
Diagramme de la chaîne d'attaque
Chaîne d'exploitation en 4 étapes : SSRF pré-authentification (CVE-2026-15409) vers l'interface locale, obtention d'un contexte administrateur, injection de commande (CVE-2026-15410), puis vol d'identifiants/TOTP et pivot vers les contrôleurs de domaine. Sources : Rapid7, Tenable, Horizon3.ai, CISA KEV.
Analyse technique
Étape 1 : reconnaissance et accès à l'interface Work Place
L'attaquant cible l'interface Work Place de l'appliance SMA1000, exposée sur Internet comme c'est l'usage pour les passerelles d'accès distant d'entreprise. Aucune authentification préalable n'est nécessaire pour amorcer l'exploitation.
Étape 2 : exploitation SSRF (CVE-2026-15409)
La requête forgée exploite la faille CWE-918 pour amener l'appliance à interroger des services normalement liés à son interface locale (127.0.0.1 ou équivalent), inaccessibles depuis l'extérieur en conditions normales. Cela permet d'atteindre des points d'API internes ou des services de gestion non exposés.
Étape 3 : élévation vers un contexte administratif
En s'appuyant sur les réponses obtenues via le SSRF, l'attaquant obtient ou détourne un contexte suffisant pour accéder à la console d'administration, condition préalable à l'exploitation de CVE-2026-15410.
Étape 4 : injection de commande et exécution de code (CVE-2026-15410)
Avec un accès de niveau administrateur, l'injection de commande dans l'Appliance Management Console permet l'exécution arbitraire de commandes système, donnant un contrôle complet de l'appliance.
Étape 5 : post-exploitation et pivot
Rapid7 documente le vol d'identifiants, de données de session actives et de graines TOTP directement depuis l'appliance compromise, utilisée ensuite comme tête de pont pour un mouvement latéral vers les contrôleurs de domaine du réseau interne, activité rattachée à un acteur lié au ransomware Inc.
Indicateurs de compromission
| Type | Valeur |
|---|---|
| CVE exploitées en chaîne | CVE-2026-15409, CVE-2026-15410 |
| Modèles affectés | SMA1000 6210, 7210, 8200v |
| Versions vulnérables | Antérieures à 12.4.3-03453 / 12.5.0-02835 |
| Comportement post-compromission | Vol d'identifiants, de sessions actives et de graines TOTP |
| Acteur associé | Affilié lié à l'opération de ransomware Inc |
| Fenêtre d'exploitation zero-day | Depuis au moins le 22 juin 2026 jusqu'à la divulgation du 8 juillet 2026 |
MITRE ATT&CK
| Tactique | Technique | ID | Justification |
|---|---|---|---|
| Initial Access | Exploit Public-Facing Application | T1190 | Exploitation de la SSRF pré-authentification sur l'interface Work Place exposée |
| Execution | Command and Scripting Interpreter | T1059 | Injection de commande via CVE-2026-15410 sur la console d'administration |
| Credential Access | Steal Application Access Token | T1528 | Vol de sessions actives et de graines TOTP depuis l'appliance compromise |
| Credential Access | Multi-Factor Authentication Interception | T1111 | Compromission des graines TOTP permettant de contourner le MFA en aval |
| Lateral Movement | Remote Services | T1021 | Pivot depuis l'appliance SMA1000 vers les contrôleurs de domaine internes |
Cartographie de lecture technique propre à cette analyse ; aucune attribution officielle MITRE n'a été publiée pour cette chaîne spécifique au moment de la rédaction.
Remédiation : checklist opérationnelle
- Appliquer immédiatement le hotfix 12.4.3-03453 ou 12.5.0-02835 sur toutes les appliances SMA1000 (6210, 7210, 8200v).
- Considérer toute appliance non patchée depuis le 22 juin 2026 comme potentiellement compromise et lancer une investigation forensique.
- Réinitialiser tous les identifiants administrateur et VPN associés aux appliances SMA1000 concernées.
- Régénérer les graines TOTP de tous les comptes ayant authentifié via l'appliance depuis la fenêtre d'exploitation.
- Auditer les journaux de la console d'administration à la recherche de commandes système non planifiées ou de comptes administrateur créés hors procédure.
- Vérifier les connexions sortantes depuis l'appliance vers des contrôleurs de domaine ou services internes pour détecter un mouvement latéral déjà engagé.
- Restreindre, si possible, l'exposition Internet directe de l'interface Work Place via un accès VPN ou une liste de contrôle d'accès IP en amont.
- Surveiller les indicateurs d'activité liés à l'opération de ransomware Inc sur les hôtes ayant été en contact avec l'appliance compromise.
Sources
- SonicWall SMA1000 vulnerabilities in active exploitation - Sophos
- SonicWall CVE-2026-15409 and CVE-2026-15410 zero-day exploited - Tenable
- Rapid7 MDR Team Discovers New SonicWall SMA1000 Zero Days
- CVE-2026-15409, CVE-2026-15410: SonicWall SMA 1000 zero-day vulnerabilities exploited in the wild - Security Boulevard
- SonicWall Issues Urgent SMA Patch Warning for Two Zero-Day Exploits - SecurityWeek
- SonicWall SMA1000 flaws exploited as zero-days to push custom malware - BleepingComputer
- CVE-2026-15409 & CVE-2026-15410 | SonicWall SMA1000 - Horizon3.ai
- CVE-2026-15409: SonicWall SMA1000 SSRF Vulnerability (CVSS 10.0) Exploited in the Wild
