SonicWall a averti que deux vulnérabilités affectant Global Management System (GMS) 9.5.2 et les versions antérieures ne bénéficieront pas de mises à jour de sécurité, car le produit est arrivé en fin de vie (EoL). L’entreprise recommande aux organisations qui utilisent GMS de passer à SonicWall Network Security Manager (NSM).
CVE-2026-109593 a un score CVSS de 9,1 et correspond à une vulnérabilité permettant de lire des fichiers sans authentification. Un attaquant disposant d’un accès réseau pourrait l’exploiter pour lire des fichiers internes de GMS et potentiellement exposer des informations sensibles.
La seconde faille, CVE-2026-109594, a un score CVSS de 6,8. Il s’agit d’une vulnérabilité d’injection SQL après authentification qui pourrait permettre à un attaquant authentifié, dans certaines conditions, d’accéder à des informations de la base de données GMS ou de les modifier.
Cet avertissement fait suite à la publication récente par SonicWall d’un correctif pour CVE-2026-102255, une vulnérabilité critique de falsification de requête côté serveur (SSRF) exploitable avant authentification. La faille a depuis été exploitée dans la nature. La télémétrie de Previdian a enregistré 2 541 tentatives provenant de huit adresses IP uniques à Singapour et aux États-Unis depuis le 9 octobre 2026, dont jusqu’à 30 tentatives le 3 novembre.
Sources: The Hacker News.