SonicWall GMS en fin de vie : deux failles sans correctif annoncé
SonicWall a publié le 3 novembre 2026 deux vulnérabilités dans Global Management System (GMS). Les installations Windows et les appliances virtuelles en version 9.5.2 ou antérieure sont concernées. Le produit étant arrivé en fin de vie, l’éditeur annonce qu’aucune mise à jour de sécurité ne sera publiée pour ces failles.
CVE-2026-109593 permet à un attaquant disposant d’un accès réseau, sans authentification préalable, de lire des fichiers internes de GMS et potentiellement d’exposer des informations sensibles. SonicWall lui attribue une note CVSS 3.1 de 9,1 sur 10. CVE-2026-109594, notée 6,8, concerne une injection SQL après authentification : dans certaines conditions, elle peut permettre de consulter ou de modifier des informations de la base de données.
Le bulletin ne propose aucune mesure de contournement. SonicWall recommande une migration vers Network Security Manager (NSM). Les organisations doivent donc identifier leurs instances GMS encore utilisées et préparer leur remplacement. Dans l’intervalle, restreindre leur accès réseau peut réduire l’exposition, mais ne constitue pas une correction des vulnérabilités. Le maintien en service d’un outil d’administration non corrigé doit faire l’objet d’une décision de risque explicite.
Sources :
