Pare-feu et VPN attaqués : SonicWall, Barracuda et Check Point à mettre à jour sans attendre

Au cours de la première moitié de novembre 2026, trois fabricants d’équipements de sécurité très répandus ont confirmé des attaques en cours contre leurs appareils : SonicWall (pare-feu et VPN), Barracuda (passerelles de messagerie et autres équipements) et Check Point (pare-feu). L’agence américaine CISA a ajouté ces failles à son catalogue des vulnérabilités exploitées les 6, 10 et 13 novembre.

Pare-feu, VPN et filtres antispam se trouvent à la frontière entre Internet et le réseau du bureau. S’ils sont compromis, l’attaquant est déjà à l’intérieur. Pour une PME tessinoise, la question pratique est simple : quel appareil avons-nous, avec quelle version, et qui le met à jour ?

SonicWall : le VPN peut contourner l’authentification à plusieurs facteurs

Dans l’avis SNWLID-2026-0014, SonicWall corrige sept vulnérabilités de SonicOS, le système de ses pare-feu Gen7 et Gen8 (séries TZ, NSa, NSsp et NSv). Selon le fabricant, l’une d’elles, CVE-2026-19868, pourrait déjà être exploitée : si l’accès au VPN SSL passe par SAML, un utilisateur disposant d’identifiants valides pour une autre méthode d’authentification (par exemple LDAP ou RADIUS configurés sur le pare-feu) peut contourner les contrôles SAML et, avec eux, l’authentification à plusieurs facteurs. SonicWall lui attribue un score CVSS de 7.1 et précise qu’elle ne concerne que ceux qui utilisent SAML pour les accès VPN.

Les autres correctifs concernent l’interface de gestion (deux failles notées CVSS 8.8) et quelques erreurs pouvant bloquer le service VPN. Versions indiquées par SonicWall :

Si la mise à jour n’est pas possible immédiatement et que SAML est utilisé, SonicWall indique comme solution provisoire de désactiver les serveurs LDAP, RADIUS et TACACS+ configurés sur le pare-feu.

Barracuda : passerelles de messagerie visées par l’interface d’administration

Le 2 novembre, Barracuda a publié un avis sur deux failles, mis à jour le 9 novembre pour confirmer des attaques contre « un petit nombre d’organisations » :

• CVE-2026-116606 dans l’Email Security Gateway (ESG) : elle contourne l’autorisation sans identifiants et permet de modifier la configuration de l’appareil. Barracuda lui attribue un score de 9.3. L’interface d’administration doit toutefois être accessible à l’attaquant.
• CVE-2026-111560 : une injection de commandes (score 8.6) présente aussi dans Load Balancer ADC, Message Archiver, WAF, WAF Control Center et Web Security Gateway. Combinée à la première, elle permet selon le fabricant de prendre le contrôle complet de l’appareil.

Barracuda a distribué les correctifs (pour l’ESG BNSF-40425 ou BNSF-40430, selon la version) et recommande de vérifier qu’ils ont été appliqués, de réactiver la mise à jour automatique si elle a été désactivée et de limiter l’accès aux interfaces d’administration au réseau interne.

Check Point : du portail VPN aux droits d’administrateur

Le 12 novembre, Check Point a décrit une chaîne d’attaque contre des passerelles non mises à jour, observée entre le 30 octobre et le 4 novembre (avis de Check Point). L’entrée se faisait par la faille PHP2Shell (CVE-2026-109618 et CVE-2026-109619) dans le portail Mobile Access, la même vulnérabilité PHP dont nous avons parlé en octobre. Les attaquants exploitaient ensuite CVE-2026-123039 (CVSS 7.8) pour obtenir les droits root sur le système Gaia. Check Point fait état de quelques dizaines de systèmes compromis dans une seule région ; les correctifs pour PHP2Shell étaient disponibles depuis le 23 octobre.

Selon l’article sk1000362, la correction est incluse dans les Jumbo Hotfix de novembre : R82.20 à partir du Take 14, R82.10 à partir du Take 52, R82 à partir du Take 132 et R81.20 à partir du Take 174. Les versions R81 et R81.10, également concernées, ne sont plus prises en charge : il faut passer à une version actuelle. Les pare-feu Spark ne sont pas touchés par CVE-2026-123039, mais selon Check Point ils le sont par PHP2Shell.

Que faire cette semaine

1. Savoir quel appareil se trouve au bureau. Marque, modèle et version du pare-feu, du VPN et d’un éventuel filtre antispam. Si l’information manque, la demander au prestataire informatique.
2. Mettre à jour vers les versions indiquées dans les tableaux et les avis ci-dessus, et se faire confirmer par écrit la version installée.
3. Fermer l’interface de gestion vers Internet. L’administration du pare-feu ne devrait être accessible que depuis le réseau interne ou par un accès dédié. Le principe est le même que pour les services exposés à vérifier.
4. Vérifier que rien ne s’est déjà produit. La mise à jour ferme la faille, mais n’élimine pas un intrus déjà entré. Demander au prestataire de rechercher des connexions VPN inhabituelles, de nouveaux comptes administrateur et des modifications de configuration imprévues ; Check Point et Barracuda publient des indications spécifiques pour ce contrôle.
5. Revoir les accès VPN. En cas de doute, changer les mots de passe des utilisateurs VPN et vérifier que l’authentification à plusieurs facteurs fonctionne vraiment pour tous : voir les cinq niveaux de sécurité des accès.
6. Remplacer les appareils hors support. Un pare-feu qui ne reçoit plus de mises à jour reste exposé à chaque nouvelle faille.

Nous ne publions pas de détails sur l’exploitation de ces failles : l’objectif est de mettre à jour et de vérifier.

En cas d’intrusion : signalements

• Protection des données (nLPD). Si des données personnelles ont été exposées et que la violation entraîne vraisemblablement un risque élevé pour les personnes concernées, l’article 24 de la loi sur la protection des données prévoit l’annonce au PFPDT dans les meilleurs délais. Le guide du PFPDT aide à évaluer le cas.
• OFCS. Pour la plupart des PME, le signalement à l’OFCS est volontaire mais utile. Les exploitants d’infrastructures critiques ont en revanche l’obligation de signaler les cyberattaques dans les 24 heures suivant leur découverte.

Questions fréquentes

Notre pare-feu est d’une autre marque : pouvons-nous être tranquilles ?

Pas pour autant. Ces derniers mois, des failles exploitées ont touché des appareils de presque tous les fabricants. Les règles restent les mêmes : mises à jour régulières, gestion non exposée sur Internet et suivi des avis du fabricant.

Nous avons déjà mis à jour : cela suffit-il ?

Si la mise à jour a eu lieu après le début des attaques, un contrôle des journaux et des comptes est utile. Les attaques contre Check Point, par exemple, ont commencé le 30 octobre.

Nous n’utilisons pas SAML pour le VPN SonicWall : faut-il mettre à jour ?

Oui. La faille exploitée ne concerne que SAML, mais la même mise à jour corrige six autres vulnérabilités, dont deux dans l’interface de gestion.

Notre approche

ElaraTeq Sagl aide les PME et cabinets au Tessin à vérifier leurs équipements réseau, à planifier les mises à jour et à configurer de manière sûre les accès à distance (conseil, hébergement en Suisse). Pour faire contrôler votre situation, vous pouvez nous contacter.

Sources

• SonicWall PSIRT, SNWLID-2026-0014, SonicWall SonicOS Affected By Multiple Vulnerabilities, mis à jour le 9 novembre 2026
• Barracuda, Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products, mis à jour le 9 novembre 2026
• Check Point, sk1000362, CVE-2026-123039, 12 novembre 2026
• Check Point, Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation
• NIST NVD, CVE-2026-19868, CVE-2026-116606, CVE-2026-111560 et CVE-2026-123039
• CISA, Known Exploited Vulnerabilities Catalog (ajouts des 6, 10 et 13 novembre 2026)
• NCSC Pays-Bas, Kwetsbaarheden in SonicOS van SonicWall met actief misbruik, 9 novembre 2026
• OFCS, Obligation de signaler les cyberattaques contre des infrastructures critiques
• PFPDT, Guide sur la notification des violations de la sécurité des données