Dans la salle serveur d'une PME du Bassin Genevois, il y a souvent un boîtier que personne ne regarde. Il assure l'accès distant : c'est par lui que les commerciaux atteignent les applications internes depuis un hôtel, et que le comptable ouvre le logiciel de paie depuis chez lui. Il fonctionne, donc il se fait oublier. Il est aussi le seul équipement du parc directement joignable depuis Internet, sans rien devant lui.
Le 1er septembre 2026, SonicWall a publié deux vulnérabilités sur sa gamme d'accès distant SMA1000, modèles 6210, 7210 et 8200v. L'éditeur confirme que les deux sont déjà exploitées. C'est la seconde série sur cette même famille d'équipements en moins de deux mois. Et le point le plus important de ces annonces n'est pas la note de gravité : c'est la phrase, en fin d'avis, qui explique que dans certains cas la mise à jour ne suffit pas.
Ce qui a été publié
La première vulnérabilité, référencée CVE-2026-83548, porte la note maximale de 10 sur 10. Elle se situe dans l'interface web par laquelle les utilisateurs se connectent, et elle est exploitable sans authentification : aucun compte, aucun mot de passe. Un chemin d'accès détourné de l'interface permet de contourner les mécanismes d'authentification de l'appareil et de le faire agir comme relais vers des ressources qu'il ne devrait pas exposer.
La seconde, CVE-2026-83549, notée 7,8, permet l'exécution de commandes système sur l'équipement, mais elle demande d'être authentifié comme administrateur. Prise isolément, elle inquiète peu. Prise après la première, elle change de nature : c'est l'enchaînement des deux qui transforme un accès non authentifié en exécution de code sur le boîtier.
Les versions corrigées sont la 12.4.3-03526 pour la branche 12.4 et la 12.5.0-02952 pour la branche 12.5. L'ANSSI a publié un avis de sécurité sur ces équipements.
La phrase que tout le monde saute
En juillet 2026, la même gamme avait déjà reçu deux correctifs pour des vulnérabilités elles aussi activement exploitées. Le CERT-FR maintient depuis une alerte sur ces équipements, mise à jour à mesure que la situation évolue.
Dans cette alerte figure une consigne qui mérite d'être lue deux fois. L'éditeur fournit des marqueurs de compromission à rechercher dans les journaux de l'équipement. Si l'un d'eux est présent, appliquer le correctif n'est pas suffisant. La recommandation est alors de réinstaller le système, de changer l'ensemble des mots de passe utilisateurs et administrateurs, et de réinitialiser les codes à usage unique de la double authentification.
Cette consigne surprend beaucoup de dirigeants, et elle est pourtant logique. Un correctif referme une faiblesse dans le code. Il n'efface pas ce qu'un intrus a emporté ou déposé pendant qu'elle était ouverte. Des identifiants récupérés restent valables après la mise à jour. Une session encore active reste active. Un compte créé discrètement reste un compte légitime aux yeux du système. Le correctif protège l'avenir, il ne réécrit pas le passé.
Trois questions qui décident de tout
Face à ce type d'annonce, la conduite à tenir ne dépend pas de la lecture de l'avis. Elle dépend de trois choses que l'on possède ou non le jour où l'annonce tombe.
Savez-vous ce qui est exposé ? La question paraît simple et la réponse manque souvent. Beaucoup de PME ont accumulé au fil des années un boîtier d'accès distant, une caméra, une imprimante réseau publiée par erreur, un ancien accès de télémaintenance laissé par un fournisseur de logiciel métier. Sans inventaire à jour des équipements joignables depuis Internet, avec leur modèle et leur version, chaque annonce impose une enquête de plusieurs heures avant même de savoir si l'on est concerné.
Gardez-vous les journaux assez longtemps ? C'est le point qui fait basculer une situation. Pour répondre à « ai-je été visité », il faut disposer des journaux couvrant la période où la faille était ouverte. Beaucoup d'équipements conservent quelques jours de traces en local, écrasées ensuite. Quand la vulnérabilité est révélée après plusieurs semaines d'exploitation discrète, ces journaux ont déjà disparu. On se retrouve alors devant un choix inconfortable : présumer que tout va bien, ou engager une réinstallation complète par précaution.
Qui applique le micrologiciel, et sous quel délai ? Un pare-feu ou un boîtier d'accès distant se met à jour pendant une coupure de service. Ce n'est pas une case à cocher, c'est une intervention planifiée, avec une sauvegarde de configuration et un retour arrière prévu. Si personne ne porte cette responsabilité nommément, la mise à jour attend le prochain incident. Nous développons ce sujet dans notre article sur le délai de correctif : la fenêtre entre la publication et les premières campagnes se compte en jours.
Réduire ce qui est joignable, avant de courir après les correctifs
Il y a une réponse plus durable que la course aux mises à jour, et elle consiste à diminuer le nombre de portes.
Un accès distant qui n'est ouvert qu'aux personnes qui en ont l'usage, derrière une authentification à deux facteurs, présente une surface bien plus faible qu'une interface accessible au monde entier. La double authentification ne corrige évidemment pas une faille non authentifiée, mais elle limite fortement ce qu'un attaquant fait des identifiants qu'il aurait récupérés. Nous détaillons ce point dans notre article sur la double authentification en PME.
Le principe vaut plus largement. Un bureau à distance publié directement sur Internet est le cas d'école du raccourci qui finit mal, sujet que nous traitons dans le RDP exposé sur Internet. La question à se poser n'est pas « cet accès est-il protégé », mais « cet accès a-t-il besoin d'être joignable depuis n'importe où ». Le choix de l'équipement compte aussi, et la box de l'opérateur ne remplit pas ce rôle, comme nous l'expliquons dans notre article sur le pare-feu et la box opérateur. Sur le fonctionnement d'un accès distant correctement posé, notre article sur le VPN en entreprise donne le cadre.
Ce que couvre un contrat d'infogérance sur ce sujet
Notre travail sur ce point tient en quatre choses, et aucune n'est spectaculaire.
Nous tenons l'inventaire des équipements exposés, avec modèle, version de micrologiciel et date de dernière mise à jour. Nous suivons les avis du CERT-FR et des éditeurs concernés, ce qui permet de savoir en quelques minutes si une annonce vous concerne. Nous centralisons les journaux ailleurs que sur l'équipement lui-même, pour qu'ils survivent à l'équipement et permettent de répondre à la question de la compromission. Et nous appliquons les micrologiciels dans une fenêtre convenue, avec sauvegarde de configuration.
La procédure de reprise fait partie du contrat, décidée à froid : qui coupe l'accès, dans quel ordre les mots de passe sont changés, comment les utilisateurs sont prévenus. C'est ce qui distingue une soirée désagréable d'une semaine perdue. Ce périmètre relève de la cybersécurité et de la supervision, dans un contrat d'infogérance dès 120 HT / mois. Nous intervenons dans tout le Bassin Genevois, avec déplacement sur site quand l'équipement l'exige. Hors contrat, une intervention d'urgence est facturée 230 HT / h, ce qui rend le calcul assez vite lisible.
À retenir
Un correctif ferme une porte, il ne vérifie pas qui est déjà entré. Sur un équipement d'accès distant exposé et activement attaqué, la bonne question n'est pas seulement « suis-je à jour », mais « puis-je prouver que je n'ai pas été visité pendant que la faille était ouverte ». Cette preuve tient dans les journaux, et les journaux se décident avant l'incident.
Si vous ne savez pas quels équipements de votre réseau sont joignables depuis Internet, ni dans quelle version, demandez-nous un état des lieux. En cas de suspicion de compromission en cours, passez par la page urgence, traitée en continu.