INC Ransomware : deux failles zero-day SonicWall SMA 1000 exploitées en chaîne pour prendre le contrôle total des boîtiers

🖧 Qu’est-ce qu’un boîtier SonicWall SMA 1000

Les SonicWall SMA 1000 (Secure Mobile Access) sont des appliances réseau — des boîtiers physiques ou virtuels dédiés — utilisées par des entreprises pour donner à leurs employés un accès distant sécurisé au système d’information interne, un peu à la manière d’un VPN (Virtual Private Network, réseau privé virtuel) d’entreprise renforcé. Ce type d’équipement est, par nature, exposé directement sur internet : c’est ce qui le rend particulièrement attractif pour un attaquant en quête d’un point d’entrée vers un réseau interne autrement protégé.

🔓 Les deux failles, et comment elles s’enchaînent

CVE-2026-15409 (note de gravité maximale, 10 sur 10 sur l’échelle CVSS — Common Vulnerability Scoring System) est une vulnérabilité de type SSRF (Server-Side Request Forgery) exploitable avant toute authentification : elle permet à un attaquant, sans identifiants, d’atteindre des services normalement accessibles uniquement depuis l’intérieur du boîtier.

CVE-2026-15410 (note de 7,2 sur 10) est une vulnérabilité d’injection de code exploitable après authentification, permettant à un attaquant disposant d’un accès administrateur d’exécuter des commandes système arbitraires.

Prises séparément, ces deux failles sont dangereuses mais limitées par leurs prérequis respectifs. Enchaînées, elles ne le sont plus : la première (CVE-2026-15409) donne accès sans identifiants au service interne nécessaire pour déclencher la seconde (CVE-2026-15410), qui permet alors l’exécution de commandes avec les droits les plus élevés (root). Résultat : une prise de contrôle complète du boîtier, sans qu’aucun mot de passe n’ait jamais été nécessaire.

☠️ Qui est INC Ransomware

INC Ransomware est un groupe de cybercriminalité opérant selon le modèle du RaaS (Ransomware-as-a-Service — un rançongiciel « loué » à d’autres cybercriminels affiliés en échange d’une part des rançons), déjà documenté depuis plusieurs années dans le paysage de la cybercriminalité. Début août 2026, le groupe s’est distingué en devenant l’acteur le plus actif à exploiter la chaîne de failles SonicWall SMA 1000, avec 885 victimes revendiquées sur son site de fuite de données (data leak site) au 2 août 2026 — un chiffre qui, comme toute revendication émanant d’un groupe de rançongiciel, correspond à l’ensemble de son activité et n’est pas limité aux seules victimes de cette campagne SonicWall.

📅 Chronologie : du zero-day à l’exploitation de masse

Ce délai entre l’exploitation silencieuse (22 juin) et la publication d’un correctif (mi-juillet) — près de trois semaines — illustre un scénario classique en cybersécurité : des attaquants sophistiqués découvrent et exploitent une faille avant même que l’éditeur ne soit informé, une fenêtre pendant laquelle aucune défense basée sur un correctif n’est possible.

🎯 Qui est visé

Selon les organismes de cybersécurité ayant analysé la campagne, des organisations situées en Australie, aux États-Unis, aux Émirats arabes unis, en Colombie et en Suisse figurent parmi les victimes recensées sur le site de fuite d’INC Ransomware, issues aussi bien du secteur privé que d’organismes gouvernementaux. Aucune victime française n’a été identifiée dans les informations disponibles à ce jour, mais l’exposition mondiale des boîtiers SonicWall SMA 1000 rend un tel scénario possible partout où ces appliances n’ont pas encore reçu le correctif.

🕵️ Ce que font les attaquants une fois entrés

Une fois l’accès root obtenu sur le boîtier, les attaquants ne se contentent pas de rançonner l’appliance elle-même : ils l’utilisent comme point d’appui pour progresser plus profondément dans le réseau de la victime. Les observateurs de la campagne rapportent l’extraction systématique de plusieurs types d’informations :

• Identifiants de connexion (credentials) stockés ou transitant par le boîtier
• Bases de données de sessions actives, permettant de réutiliser des connexions déjà authentifiées
• Configurations TOTP (Time-based One-Time Password — les codes à durée limitée utilisés pour la double authentification), dont le vol permet de contourner cette protection normalement supplémentaire

Cette collecte vise un objectif précis : assurer un accès persistant et permettre un mouvement latéral — c’est-à-dire la capacité à se déplacer d’une machine à l’autre au sein du réseau interne — avant, potentiellement, le déploiement final d’un rançongiciel chiffrant les systèmes de la victime.

🏭 Pourquoi ce type de faille inquiète au-delà du cas SonicWall

Cette affaire s’inscrit dans une tendance déjà observée par Liberta Press : la multiplication d’intrusions ne visant pas directement une organisation, mais un équipement ou prestataire tiers sur lequel elle s’appuie. En avril 2026, une fuite avait par exemple exposé des plans de centrales nucléaires françaises via un sous-traitant d’EDF. Les boîtiers d’accès distant comme les SMA 1000 constituent une catégorie d’équipement particulièrement sensible pour ce même motif : conçus pour être exposés sur internet, ils forment un point de passage obligé entre l’extérieur et le réseau interne d’une organisation — leur compromission a donc un effet démultiplicateur que n’a pas la compromission d’un poste de travail isolé.

Cette même dynamique se retrouve du côté des logiciels malveillants eux-mêmes : Liberta Press avait détaillé comment les malwares boostés à l’IA, selon les derniers rapports d’ESET, gagnent en sophistication et en vitesse d’exploitation.

🛡️ Recommandations pour les administrateurs concernés

• Appliquer sans délai les correctifs disponibles depuis mi-juillet 2026 pour CVE-2026-15409 et CVE-2026-15410
• Mener une recherche de compromission (threat hunting) complète sur les boîtiers exposés, même après application du correctif — celui-ci ne supprime pas une éventuelle intrusion déjà en place
• Renouveler l’ensemble des identifiants et secrets ayant pu transiter par l’appliance, y compris les configurations TOTP
• Vérifier l’intégrité des systèmes accessibles depuis le boîtier compromis
• Surveiller particulièrement les accès externes suspects au paramètre technique /wsproxy, identifié comme vecteur dans cette campagne

✅ Conclusion
La campagne d’INC Ransomware contre les boîtiers SonicWall SMA 1000 illustre, une fois de plus, la valeur stratégique que représentent les équipements d’accès distant pour les groupes de rançongiciel : un seul boîtier compromis peut ouvrir la voie à un réseau d’entreprise entier. Le décalage de plusieurs semaines entre l’exploitation silencieuse et la publication d’un correctif rappelle qu’un patch disponible ne suffit pas à lui seul — encore faut-il l’appliquer, et vérifier qu’aucune intrusion n’a eu lieu entre-temps.

📚 Sources

1. The Hacker News — INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
2. Dark Reading — Inc Ransomware Exploits SonicWall SMA Zero-Days
3. Tenable — CVE-2026-15409 and CVE-2026-15410 SonicWall SMA 1000 Zero-Day Vulnerabilities Exploited
4. Help Net Security — SonicWall SMA appliances targeted in zero-day attacks

Un correctif publié n’est une protection que pour ceux qui prennent la peine de l’installer.