Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 4 novembre 2026 deux vulnérabilités dans SonicWall Global Management System (GMS). L’avis CERTFR-2026-AVI-1456 concerne les versions 9.5.2 et antérieures et souligne une difficulté particulière : ce produit est en fin de vie et ne recevra plus de correctifs de sécurité.
GMS est une plateforme d’administration et de supervision des équipements SonicWall. Les failles signalées ne doivent pas être assimilées à une compromission avérée des pare-feu ou des organisations qui utilisent cette solution. Elles concernent le logiciel d’administration identifié dans l’avis.
Confidentialité des données et injection SQL
Le CERT-FR distingue deux catégories de risques : une atteinte à la confidentialité des données et une injection SQL, technique consistant à manipuler des requêtes adressées à une base de données. Les références associées sont CVE-2026-109593 et CVE-2026-109594. Les conséquences concrètes dépendent des conditions d’exposition et des droits accessibles à un attaquant.
L’agence s’appuie sur le bulletin SonicWall SNWLID-2026-0019, daté du 3 novembre. L’avis français a été diffusé le lendemain. Aucun nombre de systèmes compromis en France n’est indiqué dans ce document.
Une décision de maintien en service à réévaluer
La mention de fin de vie change la nature de la réponse opérationnelle. Pour un logiciel maintenu, l’application d’une version corrigée constitue habituellement la première étape. Dans le cas de GMS, le CERT-FR précise que l’éditeur ne fournira plus de correctifs de sécurité pour ce produit. Les équipes informatiques doivent donc inventorier les installations, vérifier leurs accès réseau et examiner les possibilités de migration vers une solution encore maintenue.
La restriction des accès d’administration et la surveillance des journaux peuvent réduire certains risques, mais elles ne remplacent pas la correction d’une vulnérabilité dans un produit abandonné. Le périmètre des équipements administrés, les dépendances techniques et les procédures de continuité doivent être examinés avant tout retrait.
Pour les responsables de la sécurité des systèmes d’information, l’alerte met ainsi en évidence un enjeu de gestion du cycle de vie des outils d’administration. Le CERT-FR renvoie au bulletin de SonicWall pour les informations techniques relatives aux deux vulnérabilités, tout en établissant clairement l’absence de nouvelles mises à jour de sécurité pour GMS.
