Contournement de l'AMF sur les VPN SonicWall : CISA l'ajoute à sa liste des vulnérabilités exploitées — corrigez vos passerelles périmétriques

La CISA ajoute la CVE-2026-19868 (SSL-VPN SonicWall) à sa liste des failles exploitées; une faille WordPress vieille de 18 ans aussi exploitée.

  • La CISA a ajouté la CVE-2026-19868, une faiblesse d'authentification du SSL-VPN de SonicWall SonicOS, à son catalogue des vulnérabilités exploitées, invoquant des preuves d'exploitation active.
  • Sont concernées toutes les organisations exposant un portail SSL-VPN SonicOS sur Internet — dont les commissions scolaires et les organismes gouvernementaux qui comptent sur le VPN et l'AMF pour l'accès à distance.
  • Un attaquant détenant des identifiants valides pour une autre méthode de connexion pourrait contourner les contrôles SAML, y compris l'AMF imposée par SAML : un mot de passe hameçonné pourrait suffire; SonicWall a publié des correctifs dans une mise à jour couvrant sept vulnérabilités.

À faire maintenant

  1. Inventorier chaque appliance SonicWall SonicOS qui termine un VPN ou participe à l'authentification SAML; consigner la version du micrologiciel, le responsable et l'accessibilité du portail SSL-VPN depuis Internet.
  2. Appliquer immédiatement la version corrigée de SonicWall pour la CVE-2026-19868 par voie de changement d'urgence, en commençant par les passerelles exposées, les paires HA et les sites distants; vérifier le numéro de version après redémarrage plutôt que de présumer que la mise à jour s'est appliquée.
  3. Si la correction doit attendre, réduire l'exposition : limiter l'accès SSL-VPN et l'interface d'administration à des plages d'adresses de confiance ou à des groupes d'utilisateurs requis, et désactiver les portails et méthodes de connexion inutilisés.
  4. Rechercher dans les journaux VPN et SAML les connexions réussies ayant sauté l'invite AMF, utilisé des assertions inattendues, provenant de nouvelles régions, ou affichant des sessions anormalement longues ou des accès latéraux; conserver les preuves avant tout nettoyage.
  5. Après la correction, tester la validation SAML et l'application de l'AMF avec des comptes représentatifs, révoquer les sessions VPN actives, renouveler les identifiants des comptes suspects et confirmer qu'aucun nouveau compte administrateur local ni changement de configuration n'a été ajouté.

Articles liés