SonicWall alerte les entreprises sur deux vulnérabilités affectant son ancien Global Management System (GMS). Le problème majeur : le produit est arrivé en fin de vie et aucun correctif de sécurité ne sera publié. Les organisations qui l’utilisent encore doivent donc organiser leur migration sans attendre.
Quelles sont les deux vulnérabilités ?
Les failles concernent SonicWall GMS 9.5.2 et les versions antérieures. CVE-2026-109593, notée 9,1 sur 10, permettrait à un attaquant non authentifié disposant d’un accès réseau de lire des fichiers internes. Ceux-ci peuvent contenir des informations sensibles sur l’environnement administré.
La seconde faille, CVE-2026-109594, reçoit un score de 6,8. Il s’agit d’une injection SQL exploitable après authentification. Dans certaines conditions, un utilisateur connecté pourrait consulter ou modifier les informations stockées dans la base de données GMS.
Pourquoi aucun patch ne sera publié
GMS est un produit en fin de vie. Cela signifie qu’il ne bénéficie plus du cycle normal de maintenance de SonicWall. L’éditeur recommande de migrer vers Network Security Manager (NSM), sa plateforme plus récente de gestion des équipements réseau.
Cette situation rappelle qu’un logiciel peut continuer à fonctionner tout en devenant dangereux. L’absence de panne visible ne signifie pas que le produit reste protégé contre les nouvelles techniques d’attaque.
Mesures à prendre immédiatement
- recenser toutes les instances GMS et confirmer leur version ;
- réduire leur exposition réseau et réserver l’accès aux administrateurs autorisés ;
- surveiller les lectures de fichiers, les connexions et les requêtes inhabituelles ;
- préparer la migration vers NSM ou une solution encore maintenue ;
- protéger et tester les sauvegardes avant toute opération de migration.
Une dette technique devenue un risque de sécurité
Conserver un outil en fin de vie peut sembler économique à court terme, mais le coût potentiel d’une compromission est bien supérieur. Les responsables informatiques doivent intégrer les dates de fin de support dans leur gestion des risques et ne pas attendre la publication d’une faille critique pour lancer le remplacement.
