Réponse courte : le 4 novembre 2026, le CERT-FR a signalé deux failles dans SonicWall GMS (versions 9.5.2 et antérieures) : CVE-2026-109593 et CVE-2026-109594. Elles permettent une injection SQL et une fuite de données. GMS étant en fin de vie, aucun correctif ne sera publié. Il faut isoler la console, restreindre son accès et planifier une migration.
Les failles SonicWall GMS annoncées cette semaine posent un problème inhabituel : il n’y a rien à installer. L’éditeur a indiqué que le produit est en fin de vie. Pour les PME qui utilisent encore cette console pour piloter leurs pare-feu SonicWall, la seule réponse est organisationnelle : réduire l’exposition, puis remplacer l’outil.
Que contiennent les failles SonicWall GMS signalées le 4 novembre 2026 ?
Il s’agit de deux vulnérabilités, CVE-2026-109593 et CVE-2026-109594, qui touchent SonicWall Global Management System (GMS) en version 9.5.2 et antérieures.
Le CERT-FR les a publiées dans son avis CERTFR-2026-AVI-1456 du 4 novembre 2026. Il s’appuie sur le bulletin de l’éditeur SNWLID-2026-0019, daté du 3 novembre 2026. Deux risques sont mentionnés :
- une atteinte à la confidentialité des données ;
- une injection SQL (SQLi), c’est-à-dire la possibilité d’envoyer des requêtes malveillantes à la base de données de l’application.
GMS est une console de gestion centralisée. Elle sert à configurer, superviser et produire des rapports sur un ensemble de pare-feu SonicWall. Elle contient donc des informations sensibles : configuration réseau, règles de filtrage, comptes d’administration, journaux.
À ce jour, ni l’avis du CERT-FR ni l’article d’armees.com ne parlent d’exploitation active. Les deux sources précisent que ces failles ne signifient pas qu’une compromission a eu lieu. Mais une faille publique et jamais corrigée devient tôt ou tard une cible.
Pourquoi ces failles ne seront-elles jamais corrigées ?
Parce que SonicWall GMS est arrivé en fin de vie : l’éditeur a annoncé qu’il ne recevra plus de correctifs de sécurité.
C’est le point clé de cette actualité. D’habitude, la réponse à un avis du CERT-FR consiste à appliquer la mise à jour de l’éditeur. Ici, l’avis renvoie bien au bulletin de SonicWall, mais ce bulletin confirme qu’aucune version corrigée ne viendra.
Ce cas n’est pas isolé. Un logiciel en fin de vie continue de fonctionner normalement, ce qui donne une fausse impression de sécurité. Nous avons décrit le même mécanisme pour les postes de travail dans notre article Windows 10 sans mises à jour : quels risques ?. Côté infrastructure, le danger est plus grand encore, car la console d’administration détient les clés du réseau.
Votre entreprise est-elle concernée ?
Vous êtes concerné si vous, ou votre prestataire, utilisez une instance SonicWall GMS installée sur site en version 9.5.2 ou antérieure.
Beaucoup de PME ne savent pas quel outil gère leurs pare-feu. Voici comment le vérifier :
- Demandez à votre prestataire informatique quel outil administre vos pare-feu SonicWall.
- Cherchez dans votre inventaire un serveur ou une machine virtuelle nommé « GMS » ou « SonicWall Management ».
- Connectez-vous à la console et relevez le numéro de version affiché.
- Vérifiez si l’interface de la console est accessible depuis Internet ou seulement depuis le réseau interne.
- Notez le nombre de pare-feu gérés et les comptes qui ont accès à la console.
Si vos pare-feu SonicWall sont administrés un par un, sans console GMS, cet avis ne vous concerne pas directement. Restez néanmoins attentif aux mises à jour du micrologiciel de chaque boîtier.
Que faire immédiatement si vous utilisez SonicWall GMS ?
Il faut d’abord réduire l’exposition de la console, puis préparer son remplacement, car aucune mise à jour ne fermera ces failles.
Les mesures recommandées par armees.com rejoignent les bonnes pratiques de base. Voici une checklist à suivre dans l’ordre :
- Inventorier toutes les instances GMS, y compris les serveurs de test oubliés.
- Couper l’accès depuis Internet : la console ne doit être joignable que depuis le réseau interne ou un VPN d’administration.
- Restreindre les comptes : supprimez les comptes inutiles, changez les mots de passe d’administration et activez la double authentification là où c’est possible.
- Filtrer par adresse IP : autorisez uniquement les postes des administrateurs.
- Surveiller les journaux de la console et du serveur qui l’héberge, à la recherche de connexions ou de requêtes inhabituelles.
- Sauvegarder les configurations des pare-feu avant toute migration.
- Planifier la migration vers un outil de gestion encore maintenu, avec une date cible.
Si vous constatez une activité suspecte, ne réinstallez rien dans l’urgence. Isolez le serveur et faites appel à une équipe de réponse à incident cyber pour préserver les traces.
| Situation | Niveau de risque | Action prioritaire |
|---|---|---|
| GMS 9.5.2 ou antérieur, accessible depuis Internet | Élevé | Couper l’accès externe aujourd’hui |
| GMS 9.5.2 ou antérieur, réseau interne uniquement | Modéré | Restreindre les comptes, surveiller, planifier la migration |
| Pare-feu SonicWall gérés sans GMS | Non concerné par cet avis | Maintenir les micrologiciels à jour |
Comment éviter d’être piégé par un logiciel en fin de vie ?
La meilleure protection est un inventaire tenu à jour, qui indique pour chaque logiciel et chaque équipement sa date de fin de support.
Une fin de vie est presque toujours annoncée à l’avance par l’éditeur. Le problème vient rarement de la surprise, mais de l’oubli : personne ne suit la date, le budget n’est pas prévu, et le logiciel reste en place des années. Une démarche de gestion des correctifs sérieuse inclut ce suivi. Elle traite les mises à jour disponibles, mais aussi les produits qui n’en recevront plus.
Concrètement, prévoyez dans votre plan de renouvellement du parc informatique une ligne pour les outils d’administration réseau. Ils sont souvent oubliés, car ils ne sont pas utilisés au quotidien par les salariés.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, comme la RATP, la Société Générale ou LVMH, un logiciel en fin de vie ne pouvait pas rester en production sans dérogation écrite, une date de sortie et des mesures de compensation. C’est cette discipline qui manque le plus souvent dans les PME.
Le cas SonicWall GMS est typique. La console fonctionne, personne ne s’en plaint, donc personne n’y touche. Pourtant, c’est l’un des équipements les plus sensibles du réseau : qui contrôle la console contrôle les pare-feu. Mon conseil : traitez la fin de vie comme une vulnérabilité à part entière, avec un niveau de priorité et une échéance. Et considérez qu’une console d’administration ne doit jamais être exposée sur Internet, même quand elle est à jour.
Et pour les PME des Hauts-de-Seine ?
De nombreuses PME du 92 confient leurs pare-feu à un prestataire, qui peut utiliser GMS sans que le dirigeant le sache. Posez-lui la question cette semaine, par écrit.
SOSPC82, basé à La Garenne-Colombes, intervient dans tous les Hauts-de-Seine (voir nos zones d’intervention) et à distance partout en France. Nous pouvons vérifier si vous êtes concerné, isoler la console et préparer la migration. Pour aller plus loin, un audit de cybersécurité PME recense tous les équipements et logiciels en fin de vie de votre parc. Avec notre infogérance PME (formules Essentiel à 19,99 €, Sérénité à 39,99 € et Premium à 79,99 € HT par poste et par mois), ce suivi devient permanent. Vous pouvez aussi relire notre article sur les failles Ivanti Connect Secure, autre équipement réseau très ciblé.
Questions fréquentes
Quelles versions de SonicWall GMS sont touchées ?
Le CERT-FR indique que les versions 9.5.2 et antérieures sont concernées. Les failles portent les références CVE-2026-109593 et CVE-2026-109594.
Existe-t-il un correctif pour ces failles ?
Non. SonicWall a indiqué que GMS est en fin de vie et ne recevra plus de correctifs de sécurité. Il faut donc réduire l’exposition de la console et migrer vers un outil maintenu.
Ces failles sont-elles déjà exploitées par des pirates ?
Les sources consultées ne signalent pas d’exploitation active à ce jour. Elles précisent que ces failles ne signifient pas qu’une compromission a eu lieu, mais le risque augmente avec le temps.
Mes pare-feu SonicWall sont-ils eux-mêmes vulnérables ?
Cet avis porte sur la console de gestion GMS, pas sur les pare-feu eux-mêmes. En revanche, un attaquant qui prendrait le contrôle de la console pourrait agir sur les pare-feu qu’elle administre.
Combien de temps peut-on garder un logiciel en fin de vie ?
Le moins longtemps possible. Si un remplacement immédiat est impossible, isolez le logiciel, limitez ses accès, surveillez-le et fixez une date de sortie précise.
En résumé
- SonicWall GMS 9.5.2 et antérieur est touché par deux failles (CVE-2026-109593 et CVE-2026-109594) signalées par le CERT-FR le 4 novembre 2026.
- Le produit est en fin de vie : aucun correctif ne sera publié.
- Coupez l’accès Internet à la console, restreignez les comptes, surveillez les journaux et planifiez la migration.
Vous ne savez pas si votre entreprise utilise GMS ou d’autres logiciels en fin de vie ? Découvrez notre service de gestion des correctifs ou appelez le 07 69 36 92 60. Devis gratuit sous 24 h.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :