Inc Ransomware exploite deux zero-days SonicWall pendant trois semaines avant divulgation

Le 22 juin 2026 - des attaquants ont ciblé les appliances SonicWall Secure Mobile Access (SMA) 1000 Series. Ils ont enchaîné deux vulnérabilités zero-day: CVE-2026-15409 - une faille SSRF critique notée 10.0 sur l’échelle CVSS - et CVE-2026-15410 - une injection de code post-authentification notée 7.2. Résultat: accès root complet, persistance, puis déploiement d’un ransomware. Trois semaines avant que SonicWall ne publie son advisory.

Le groupe responsable s’appelle Inc. Un collectif ransomware-as-a-service (RaaS) qui vend ses exploits à d’autres opérateurs. Rapid7, qui a découvert l’attaque, a formellement attribué la campagne à Inc le 15 juillet. Seth Lazarus - Senior Manager chez Rapid7, confirme: l’objectif de ces attaques est probablement le ransomware. Dans au moins un cas actif, le ransomware a été déployé. Rapid7 a bloqué l’exfiltration et le chiffrement dans la majorité des cas observés - mais pas tous.

Le chaînage technique

CVE-2026-15409 exploite une faille SSRF dans l’interface « Work Place » des appliances SMA. L’attaquant force l’appliance à envoyer des requêtes HTTP arbitraires vers des services internes. Cible: le service ctrl-service sur le port 8188 - normalement inaccessible depuis l’extérieur. Une fois à l’intérieur, CVE-2026-15410 injecte du code dans la console de gestion (AMC). L’attaquant obtient un shell root. Il installe des backdoors, modifie les configurations, maintient la persistance même après application du patch.

Brett Deroche - directeur de la réponse aux incidents chez Rapid7, l’a observé: « Nous avons vu l’acteur maintenir la persistance et remettre le patch nouvellement appliqué à un état vulnérable pour conserver l’accès. Une revue forensique complète du pare-feu est nécessaire pour garantir une éviction complète. »

Trois semaines d’exploitation silencieuse

Les attaquants ont exploité les failles pendant trois semaines avant que SonicWall ne publie son advisory le 14 juillet. Durant cette fenêtre, aucune organisation ciblée ne savait qu’elle était vulnérable. Les appliances SMA 1000 Series sont déployées dans des milliers d’entreprises et d’agences gouvernementales comme points d’accès VPN sécurisé. Un accès root sur ces appliances donne aux attaquants une position stratégique: ils peuvent surveiller le trafic, voler des identifiants, rebondir vers le réseau interne.

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté les deux CVE à son catalogue des vulnérabilités connues exploitées (KEV) le 14 juillet 2026. Elle a fixé une deadline de remédiation au 17 juillet 2026 pour toutes les agences fédérales civiles exécutives (FCEB). Trois jours pour patcher. Certaines organisations n’ont pas eu le temps.

Ce que personne ne dit: les appliances edge sont des cibles de choix

Les groupes ransomware ciblent de plus en plus les appliances réseau (VPN, pare-feu, proxies) plutôt que les endpoints. Pourquoi? Parce qu’une appliance compromise donne un accès persistant au réseau sans déclencher les antivirus ni les EDR. Les appliances sont souvent mal surveillées, rarement auditées, et leur firmware n’est pas toujours à jour. SonicWall en particulier a un historique chargé: en 2025, un acteur étatique non identifié a infiltré l’environnement cloud de l’entreprise et volé les configurations de pare-feu de tous les clients SonicWall. Le groupe de ransomware Akira a également ciblé les dispositifs SonicWall SSL VPN en 2025, exploitant potentiellement des zero-days pour obtenir un accès initial.

John Gallagher - expert en cybersécurité, critique le délai de patching: « La mise à jour après une notification publique laisse une période de vulnérabilité massive pendant laquelle les attaquants agissent déjà sur des zero-days. Pour compenser, les organisations doivent traiter les appliances edge et adjacentes au réseau avec une mentalité assume-breach, et déployer les mises à jour de sécurité à grande échelle en quelques minutes ou heures, pas en semaines ou mois. »

L’angle mort: pourquoi Inc a pu chaîner deux zero-days

Les groupes ransomware exploitent généralement des vulnérabilités déjà patchées, pas des zero-days. Enchaîner DEUX zero-days pour un accès root est exceptionnel. Cela signifie soit que Inc a développé ses propres exploits en interne (improbable pour un groupe cybercriminel), soit qu’il les a achetés à un broker spécialisé, soit qu’il a recruté un développeur d’exploits expérimenté. L’année 2025 a vu une augmentation notable de l’exploitation de zero-days par des acteurs de menaces à motivation financière. D’autres groupes de ransomware, tels que Play et CL0P, ont également été documentés comme exploitant des vulnérabilités zero-day pour leurs opérations.

Ce qui dérange dans ce récit: Inc a réussi à identifier ET à chaîner deux failles dans un produit d’infrastructure critique avant que SonicWall ne les découvre lui-même. Adam Babis - de l’équipe PSIRT (Product Security Incident Response Team) de SonicWall, est crédité d’avoir découvert et signalé en interne ces vulnérabilités. Mais les attaquants étaient déjà en place depuis trois semaines. Qui a trouvé les failles en premier? Et combien d’autres appliances SMA ont été compromises sans qu’aucune alerte ne soit remontée?

Voix contradictoire: le patching ne suffit pas

Brett Deroche insiste: appliquer le patch ne suffit pas. Les attaquants maintiennent la persistance en rollbackant les hotfixes. Une revue forensique complète est nécessaire pour garantir une éviction complète. John Gallagher - expert en cybersécurité, va plus loin: le modèle de sécurité basé sur le patching réactif est obsolète. Les appliances edge doivent être traitées avec une mentalité assume-breach: isolation réseau, surveillance continue du trafic, détection d’anomalies, et réponse automatisée en cas de compromission.

SonicWall a indiqué que l’exploitation n’était pas propre à SonicWall. Qu’est-ce que cela signifie? Que d’autres fabricants d’appliances VPN ont des failles similaires? Que les techniques de chaînage SSRF + injection de code sont reproductibles sur d’autres produits? SonicWall n’a pas précisé. L’entreprise a un passif: Marquis Software Solutions - un client, a poursuivi SonicWall plus tôt en 2026 pour ne pas l’avoir informé rapidement et précisément d’une campagne de cyberattaque SonicWall.

Ce que les sources ne disent pas

Aucune source ne mentionne le nombre total d’organisations affectées. Rapid7 parle de « plusieurs cas », mais ne donne pas de chiffre. Combien d’appliances SMA 1000 sont déployées dans le monde? Combien ont été compromises? Quel est le taux de patching trois jours après la divulgation? Ces questions n’ont pas de réponse publique. Les organisations victimes ne communiquent généralement pas sur les incidents de sécurité avant d’avoir terminé leur enquête forensique. Il est probable que le nombre de victimes soit sous-estimé.

Autre absence critique: aucune source ne mentionne si les attaquants ont exfiltré des données sensibles avant de déployer le ransomware. Inc est un groupe RaaS qui pratique la double extorsion: chiffrement + menace de publication des données volées. Si des données ont été volées, les victimes sont confrontées à un dilemme: payer la rançon pour éviter la fuite, ou refuser et voir leurs données publiées sur un leak site. Les sources ne mentionnent ni exfiltration, ni demande de rançon, ni montant. Le silence est assourdissant.

► Lire aussi: Comment l'IA générative transforme le phishing en menace industrielle

Nathalie IA en ligne

Bonjour, je suis Nathalie, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif