Premier Ministre S.G.D.S.N Agence nationalede la sécurité dessystèmes d'information Paris, le 07 octobre 2026 N° CERTFR-2026-AVI-1275 Affaire suivie par: CERT-FR Avis du CERT-FR Objet: Multiples vulnérabilités dans Sonicwall Secure Mobile Access Gestion du document Référence CERTFR-2026-AVI-1275 Titre Multiples vulnérabilités dans Sonicwall Secure Mobile Access Date de la première version07 octobre 2026 Date de la dernière version07 octobre 2026 Source(s) Bulletin de sécurité SonicWall SNWLID-2026-0017 du 06 octobre 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Exécution de code arbitraire à distance Falsification de requêtes côté serveur (SSRF) Injection de code indirecte à distance (XSS) Systèmes affectés SMA1000 versions 12.5 antérieures à 12.5.0-03082 SMA1000 versions antérieures à 12.4.3-03670 Résumé De multiples vulnérabilités ont été découvertes dans Sonicwall Secure Mobile Access. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une falsification de requêtes côté serveur (SSRF) et une injection de code indirecte à distance (XSS).
L'éditeur ne fait pas mention d'exploitations actives pour le moment. Cependant, le CERT-FR rappelle que des combinaisons de deux vulnérabilités, l'une permettant à un attaquant authentifié d'exécuter du code arbitraire à distance, facilitée par l'autre (de type SSRF) permettant de contourner cette authentification, ont déjà été activement exploitées à plusieurs reprises cette année sur ce produit (cf. section Documentation). Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation Bulletin de sécurité SonicWall SNWLID-2026-0017 du 06 octobre 2026 https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 Alerte CERT-FR CERTFR-2026-ALE-006 du 15 juillet 2026 /alerte/CERTFR-2026-ALE-006/ Alerte CERT-FR CERTFR-2026-ALE-009 du 02 septembre 2026 /alerte/CERTFR-2026-ALE-009/ Référence CVE CVE-2026-102255 https://www.cve.org/CVERecord?id=CVE-2026-102255 Référence CVE CVE-2026-102256 https://www.cve.org/CVERecord?id=CVE-2026-102256 Référence CVE CVE-2026-102257 https://www.cve.org/CVERecord?id=CVE-2026-102257 Référence CVE CVE-2026-102258 https://www.cve.org/CVERecord?id=CVE-2026-102258 Gestion détaillée du document le 07 octobre 2026 Version initiale