SonicWall GMS : deux failles, dont une critique, ne seront jamais corrigées

Vous gérez encore votre parc de firewalls SonicWall depuis une console GMS ? Deux nouvelles failles, dont une faille critique exploitable sans authentification, viennent d'être dévoilées, et elles ne seront jamais corrigées. Voici ce qu'il faut savoir.

Le Global Management System (GMS) est la console d'administration centralisée de SonicWall : elle permet de déployer, configurer et superviser un grand nombre d'appliances de sécurité depuis une seule interface. Pratique sur le papier, et pourtant, son sort a été scellé depuis plus d'un an.

Pour rappel, SonicWall a annoncé la fin de vie de GMS le 5 mai 2025. La commercialisation s'est arrêtée le 1er octobre 2025 et le support a pris fin le 30 septembre 2026. Le successeur désigné s'appelle Network Security Manager (NSM), disponible en SaaS ou sur site.

Quasiment jusqu'au dernier moment, GMS a eu le droit à des patchs de sécurité, notamment le 11 août 2026 lorsque SonicWall corrigeait six vulnérabilités dans GMS 9.5.1. Parmi elles : deux failles critiques menant à une exécution de code à distance sans authentification (CVE-2026-66145 et CVE-2026-66147). Avec la fin du support, la version 9.5.2 restera la dernière version de cette solution.

Deux failles découvertes par Pentest-Tools

Le 3 novembre 2026, SonicWall a publié un nouveau bulletin de sécurité consacré à deux vulnérabilités qui affectent GMS 9.5.2 et les versions antérieures. Elles ont été signalées par deux chercheurs de chez Pentest-Tools.com.

• CVE-2026-109593 : la plus grave, avec un score CVSS 3.1 de 9,1 sur 10. Un attaquant non authentifié, disposant d'un accès réseau à l'instance GMS, peut lire des fichiers internes de l'application et ainsi accéder à des informations sensibles.

• CVE-2026-109594 : une injection SQL post-authentification (CVSS 6,8). Dans certaines conditions, un attaquant qui dispose d'un compte à privilèges élevés peut accéder aux informations stockées dans la base de données de GMS, voire les modifier.

Le problème, c'est la suite du bulletin. "Aucun correctif ni mise à jour de sécurité ne sera publié pour ces vulnérabilités", prévient SonicWall, qui rappelle que le produit a atteint sa fin de vie et invite ses clients à migrer vers NSM. Le bulletin ne mentionne aucune solution de contournement.

À l'heure actuelle, rien n'indique que ces failles soient exploitées. Quoi qu'il en soit, si vous utilisez GMS, il va falloir vivre avec ces failles.

Pour un attaquant, une console comme GMS reste une cible de choix. Elle centralise la gestion de dizaines, voire de centaines de firewalls, et une faille permettant de lire des fichiers internes sans authentification pourrait suffire à récupérer des éléments de configuration ou des secrets. C'est donc une porte d'entrée vers l'ensemble du SI.

Si vous utilisez encore GMS, voici les actions à mener pour réduire les risques :

• Retirer toute exposition : l'interface de GMS ne doit pas être joignable depuis Internet. La CVE-2026-109593 ne réclame qu'un accès réseau, donc restreignez l'accès à un réseau d'administration dédié ou à un bastion.

• Limiter les comptes à privilèges : la CVE-2026-109594 nécessite un compte à privilèges élevés. Faites le ménage dans les comptes administrateurs.

Pour rester chez SonicWall, la seule solution viable, c'est de passer par NSM. D'ailleurs, SonicWall GSM propose un fichier GMS Transition Snapshot, généré par le super administrateur depuis l'interface de GMS, pour reprendre dans NSM On-Prem les données nécessaires à la gestion des firewalls. Vous pouvez consulter des détails à ce sujet dans la FAQ de transition de GMS vers NSM.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.