SonicWall, l'éditeur américain de pare-feu, a publié le vendredi 6 novembre 2026 un avis de sécurité, référencé SNWLID-2026-0014, pour corriger la faille CVE-2026-19868 de SonicOS, qui permet de contourner la double authentification du VPN SSL lorsque SAML est activé. La vulnérabilité touche les pare-feu Gen7 et Gen8, et l'agence américaine de cybersécurité CISA l'a ajoutée le même jour à son catalogue des vulnérabilités exploitées.

Ce type de contournement n'est pas une première pour l'éditeur, dont les VPN SSL ont déjà été visés par des attaques sur le MFA. Les administrateurs de ces pare-feu doivent donc installer le firmware corrigé, car SonicWall ne propose aucune solution de contournement. Pour mesurer le risque sur les accès distants, notre dossier IA et cybersécurité : comment protéger votre entreprise rappelle les bases de la défense en entreprise.

Que permet la faille CVE-2026-19868 de SonicOS ?

La faille CVE-2026-19868 est une vulnérabilité d'application de l'authentification dans le service VPN SSL de SonicOS. Selon l'avis de SonicWall, il s'agit d'une « vulnérabilité d'application de l'authentification dans le service SonicOS SSLVPN ».

Un utilisateur qui possède des identifiants valides pour une autre méthode d'authentification peut contourner les contrôles SAML, et avec eux la double authentification imposée via SAML. Ce n'est pas un accès ouvert à n'importe quel attaquant : il faut déjà détenir des identifiants valides.

La faille n'est exploitable que si SAML est activé pour les connexions VPN SSL. Sa gravité est notée 7,1 sur l'échelle CVSS.

Quels pare-feu SonicWall sont concernés par cette vulnérabilité ?

Les pare-feu SonicWall concernés sont les plateformes Gen7 sous SonicOS 7.3.3-7015 et versions antérieures, et Gen8 sous SonicOS 8.2.2-8015 et versions antérieures. Le tableau de l'avis de l'éditeur confirme ces versions.

La faille cible donc des pare-feu SonicWall dont le VPN SSL utilise SAML. Un utilisateur d'un VPN personnel n'est pas concerné directement.

La vulnérabilité a été découverte et signalée par Ryan Harris, de la société de services informatiques Electronic Office.

Exploitation de CVE-2026-19868 : ce que disent SonicWall et la CISA

L'exploitation de CVE-2026-19868 est confirmée par la CISA, qui a inscrit la faille à son catalogue des vulnérabilités exploitées le 6 novembre 2026. Les agences civiles fédérales américaines ont jusqu'au 20 novembre pour corriger leurs systèmes.

SonicWall indique de son côté avoir « examiné un signalement indiquant une exploitation potentielle ». L'éditeur n'a pas précisé quelles organisations ont été touchées ni ce qui s'est passé. Aucun indicateur de compromission n'est publié à ce stade.

Correctifs SonicOS : quelles versions installer ?

Les correctifs de SonicOS sont la version 7.3.4-7013 pour les pare-feu Gen7 et la version 8.2.3-8015 pour les pare-feu Gen8. SonicWall précise qu'aucun contournement n'est disponible et invite les administrateurs à appliquer la mise à jour rapidement.

Selon la page officielle de l'éditeur, la version 7.3.4-7013 est disponible depuis le 20 octobre 2026, la 7.3.4-7015 depuis le 5 novembre, et la 8.2.3-8015 était prévue le 6 novembre. Le firmware se télécharge via MySonicWall. Aucun prix n'est associé au correctif.

Les appareils Gen6, en fin de support, ne reçoivent plus de firmware. SonicWall propose pour eux un programme de reprise vers un pare-feu Gen 7 ou Gen 8, une offre commerciale distincte qui annonce jusqu'à 40 % d'économies sur les abonnements annuels.

Des contournements MFA déjà vus sur les VPN SSL de SonicWall

Les VPN SSL de SonicWall ont déjà connu des contournements de double authentification. La faille CVE-2024-12802, distincte de celle-ci, permettait de contourner le MFA sur ces appareils, et des attaques par force brute automatisées ont été observées à partir de février 2026, selon ReliaQuest.

En 2025, des affiliés du groupe Akira ont aussi compromis des pare-feu SonicWall alors que le MFA par code à usage unique était activé.