Le 1er septembre 2026, l’éditeur SonicWall a publié un bulletin de sécurité sur deux vulnérabilités affectant ses boîtiers d’accès distant Secure Mobile Access (SMA) 1000, dont une faille critique exploitable sans authentification. Le lendemain, le CERT-FR a repris l’alerte dans un avis toujours en cours et précisé un point que beaucoup de responsables découvriront trop tard : l’application des correctifs n’est pas suffisante. Entre l’éditeur qui publie son correctif, le revendeur qui a vendu et installé ces boîtiers et l’entreprise cliente qui s’en sert chaque jour pour faire travailler ses équipes à distance, la question n’est plus de savoir s’il faut patcher, mais dans quel ordre constater, informer et se retourner. La réponse tient en quatre gestes : appliquer le correctif et les mesures complémentaires recommandées, figer les preuves de l’exposition et de la diligence, informer ses propres clients et partenaires sans attendre, puis actionner les recours contractuels et légaux dans la chaîne de distribution.
Ces constats appellent des réserves immédiates. Les faits techniques décrits ici sont ceux du bulletin SonicWall SNWLID-2026-0016 du 1er septembre 2026 et de l’alerte CERT-FR CERTFR-2026-ALE-009 du 2 septembre 2026, tels qu’ils peuvent être lus sur les sites officiels. Chaque contrat de distribution, chaque contrat de maintenance et chaque police d’assurance peut déplacer les curseurs : ce qui suit est une carte des décisions, pas une promesse de résultat. Et les situations racontées sont des cas types reconstruits à partir des textes et de la jurisprudence, pas des dossiers du cabinet.
I. Une faille nommée, une exploitation avérée, deux maillons exposés
A. Ce que l’éditeur et le CERT-FR ont établi les 1er et 2 septembre 2026
Le point de départ est un document de l’éditeur lui-même. Le 1er septembre 2026, SonicWall a publié le bulletin de sécurité SNWLID-2026-0016 portant sur deux vulnérabilités de ses boîtiers SMA 1000. La plus grave, référencée CVE-2026-83548, est décrite par l’éditeur comme une faille de type SSRF pré-authentification dans l’interface Work Place du boîtier SMA 1000, due à un chemin d’accès alternatif non prévu : un attaquant distant, sans compte ni mot de passe, pourrait l’exploiter pour atteindre des fonctions sensibles et réaliser des opérations non autorisées. Le bulletin invite instamment les clients à installer le correctif d’urgence dès que possible.
Le lendemain, le CERT-FR, service officiel français de réponse aux incidents, a publié le 2 septembre 2026 l’alerte CERTFR-2026-ALE-009, intitulée « Multiples vulnérabilités dans SonicWall Secure Mobile Access » et toujours signalée en cours. Le CERT-FR rappelle que SonicWall a publié le 1er septembre 2026 un avis de sécurité sur deux vulnérabilités des Secure Mobile Access (SMA) 1000, dont la faille critique CVE-2026-83548, qui permet une falsification de requêtes côté serveur (SSRF) par un attaquant non authentifié. Surtout, l’alerte tranche une question que les équipes techniques se posent toujours : l’éditeur signale une exploitation active des deux failles, sans préciser si un attaquant non authentifié peut enchaîner leur exploitation pour prendre la main sur l’équipement. L’exploitation n’est donc pas théorique : elle est constatée par l’éditeur lui-même, qui a enquêté sur un cas d’exploitation active. Le CERT-FR ajoute deux informations opérationnelles : les marqueurs de compromission s’obtiennent en contactant le support technique de SonicWall. Et, point décisif pour la suite : selon le CERT-FR, l’application des correctifs ne suffit pas à elle seule. L’éditeur recommande des mesures complémentaires, détaillées dans son bulletin, et le CERT-FR renvoie à l’avis CERTFR-2026-AVI-1103 du 1er septembre 2026 ainsi qu’à la communication officielle de SonicWall.
Pourquoi un boîtier SMA 1000 vulnérable est-il plus grave qu’un simple logiciel à mettre à jour ? Parce qu’il s’agit d’un équipement d’accès distant : il est par construction exposé sur internet et constitue la porte d’entrée vers le système d’information de l’entreprise. Une faille pré-authentification sur cette porte, activement exploitée, signifie que des attaquants peuvent tenter de s’introduire sans identifiants, avant même que le correctif soit déployé. Les ajouts quotidiens du catalogue américain des vulnérabilités exploitées, qui a encore enregistré de nouvelles entrées les 8 et 9 septembre 2026, confirment que ce type de cible est chassé en continu. Et le calendrier réglementaire européen ajoute une pression : depuis le 11 septembre 2026, comme le rappelle la Commission européenne, les fabricants sont tenus de signaler les vulnérabilités activement exploitées et les incidents graves touchant la sécurité des produits comportant des éléments numériques, avec une alerte précoce dans les 24 heures suivant la prise de connaissance puis une notification complète dans les 72 heures. L’éditeur qui découvre une exploitation active doit donc déclarer vite ; l’aval de la chaîne, lui, doit décider vite.
B. Les deux acteurs professionnels que la faille met face à leurs obligations
Le premier acteur exposé est le revendeur, l’intégrateur ou la société de maintenance qui a vendu, installé ou supervisé ces boîtiers. Il a souvent des dizaines de clients équipés du même modèle, des stocks en entrepôt et des contrats de maintenance qui lui imposent une obligation de résultat ou, à tout le moins, une obligation de moyens renforcée. Sa position est inconfortable : il n’est pas l’auteur de la faille, mais il est le premier interlocuteur que son client appellera, et le droit ne lui permet pas de se retrancher derrière le silence ou l’inaction. Même face à un client professionnel, le vendeur d’un produit nouveau reste tenu d’informer. La Cour de cassation l’a jugé dans son arrêt du 27 novembre 2019 (pourvoi n° 18-16.821), rendu dans un litige opposant un fabricant à son distributeur : la cour d’appel avait pu déduire que le vendeur « avait manqué à son obligation de donner à l’acquéreur d’un produit nouveau, fût-il utilisateur professionnel de ce produit, les renseignements nécessaires à son usage et de l’informer, le cas échéant, des risques pouvant en résulter ». Le fait que l’acheteur soit un professionnel n’éteint donc pas le devoir d’information du vendeur, surtout quand le produit est nouveau ou que le risque est mal connu. Ce principe, posé en matière de produits agricoles, vaut pour tout produit dont l’usage comporte des risques que seul le vendeur est en mesure d’expliquer : un intégrateur qui apprend l’existence d’une faille activement exploitée sur un équipement qu’il a déployé doit en informer ses clients et leur indiquer la conduite à tenir, au lieu d’attendre qu’ils l’apprennent par la presse.
Le devoir d’information irrigue d’ailleurs tout le droit des contrats. Aux termes de l’article 1112-1 du code civil, « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. » Et « Ont une importance déterminante les informations qui ont un lien direct et nécessaire avec le contenu du contrat ou la qualité des parties. » L’existence d’une faille activement exploitée sur un équipement de sécurité, avec un correctif disponible et des mesures complémentaires à prendre, est typiquement une information déterminante pour un client qui a confié sa porte d’accès distant à son prestataire. L’intégrateur qui la tait s’expose à voir sa responsabilité recherchée, tandis que celui qui la transmet par écrit, avec la référence du bulletin et la marche à suivre, se constitue une preuve de diligence.
Le second acteur exposé est l’entreprise cliente, souvent une PME, qui utilise le boîtier SMA 1000 pour permettre à ses salariés, à ses prestataires ou à ses propres clients de se connecter à distance. Elle découvre qu’un équipement au cœur de sa sécurité est vulnérable, peut-être déjà compromis, et que le correctif ne suffit pas à lui seul. Sa première question est opérationnelle : le boîtier est-il exposé sur internet, les journaux de connexion montrent-ils des accès anormaux, les comptes à privilèges ont-ils été utilisés depuis des adresses inconnues ? Sa seconde question est juridique : qui doit payer l’audit, l’intervention d’urgence, l’éventuelle interruption d’activité, et que se passe-t-il si des données personnelles ou des secrets d’affaires ont transité par l’équipement pendant la fenêtre d’exposition ? Sur ce dernier point, si des données personnelles ont pu être compromises, l’entreprise doit évaluer sans tarder ses propres obligations de notification, car le droit européen des données personnelles impose aux responsables de traitement de notifier certaines violations à l’autorité de contrôle et, dans les cas graves, aux personnes concernées. L’évaluation se fait au cas par cas, avec l’aide du délégué à la protection des données quand il existe, et elle commence par la même matière première que tout le reste : les preuves.
Car la faille SonicWall illustre la règle de cette rubrique : chaque maillon détient une preuve différente, et aucune ne se reconstitue après coup. L’éditeur détient le bulletin, l’horodatage de la découverte de l’exploitation et le correctif. L’intégrateur détient la liste des versions déployées chez chaque client, les tickets d’intervention, les courriels d’information envoyés et les accusés de réception. L’entreprise cliente détient ses journaux de connexion, ses configurations, ses sauvegardes et la chronologie de ses propres décisions. Celui qui conserve méthodiquement ces pièces pourra démontrer sa diligence ou, à l’inverse, établir la faute de l’amont. Celui qui les laisse s’effacer — journaux écrasés par rotation, courriels supprimés, versions non tracées — se privera de tout recours avant même de l’avoir exercé.
II. La carte des décisions, dans l’ordre où elles protègent
A. Isoler, patcher, constater, informer : les gestes qui ne peuvent pas attendre
Le premier geste appartient à l’entreprise cliente, avec l’aide de son intégrateur : réduire l’exposition sans délai. Cela signifie appliquer le correctif d’urgence fourni par l’éditeur, mettre en œuvre les mesures complémentaires recommandées dans le bulletin — puisque le CERT-FR prévient que le correctif seul ne suffit pas — et, en attendant, restreindre l’accès au boîtier autant que l’activité le permet : filtrage des adresses autorisées, désactivation temporaire des accès non indispensables, rotation des mots de passe et des secrets qui ont transité par l’équipement. Contacter le support de l’éditeur pour obtenir les marqueurs de compromission, comme l’indique le CERT-FR, permet de vérifier si l’équipement a déjà été visité. Chaque opération doit être horodatée : date et heure du patch, version installée, captures des écrans de mise à jour, comptes-rendus d’intervention. En cas de contentieux ultérieur sur la diligence, ces pièces feront la différence entre une entreprise qui a réagi en quelques heures à une alerte officielle et une entreprise qui a laissé la porte ouverte pendant des semaines.
Le deuxième geste est probatoire : figer l’état des lieux. Pour l’entreprise cliente, cela passe par la préservation des journaux de connexion et des journaux système du boîtier, l’export des configurations, la conservation des sauvegardes antérieures et, si une intrusion est suspectée, par un constat d’huissier de justice — aujourd’hui commissaire de justice — ou par une expertise privée contradictoirement organisée. Ces constats établissent la version du micrologiciel en place, les traces d’accès anormaux, l’existence ou l’absence d’exfiltration visible. Pour l’intégrateur, le dossier probatoire est symétrique : parc installé par client et par version, dates d’envoi des alertes à chaque client, preuves de réception, propositions d’intervention et réponses reçues. Un intégrateur qui peut produire le courriel du 3 septembre informant son client de l’alerte CERT-FR du 2 septembre, avec le lien vers le bulletin et une proposition d’intervention chiffrée, n’est pas dans la même position que celui qui a seulement « entendu parler » de la faille. La jurisprudence sur le devoir d’information donne à ces écrits un poids décisif : informer par écrit, c’est à la fois protéger le client et se protéger soi-même.
Le troisième geste est l’information en cascade. L’intégrateur informe chacun de ses clients équipés, par un message écrit, daté, précis, qui cite les références officielles et propose une intervention. Il suspend en parallèle toute nouvelle installation ou vente de boîtiers non corrigés : vendre en connaissance de cause un équipement dont on sait qu’il est activement exploité, sans avertir l’acheteur ni appliquer le correctif avant livraison, exposerait le vendeur à une mise en cause directe. L’entreprise cliente, de son côté, informe ses propres parties prenantes selon sa situation : sa direction, son assureur cyber ou responsabilité civile, son délégué à la protection des données, et, si elle-même fournit des services à des tiers à travers l’équipement compromis, ses propres clients professionnels. Chacun de ces courriers doit distinguer les faits établis — une faille documentée, un correctif disponible, des mesures complémentaires recommandées — des hypothèses — une compromission suspectée mais non confirmée. L’exagération comme la minimisation se paient : affirmer une intrusion non démontrée expose à des demandes injustifiées, la taire alors qu’elle est probable expose à un reproche de déloyauté.
Le quatrième geste, souvent oublié dans l’urgence, est la mise en demeure. Avant tout recours, le créancier d’une obligation inexécutée ou mal exécutée doit mettre son débiteur en demeure, par écrit, de s’exécuter. L’entreprise cliente met en demeure son intégrateur de remédier aux manquements allégués — défaut d’information, retard dans le déploiement du correctif, supervision défaillante — et de l’indemniser des préjudices subis. L’intégrateur, s’il estime que la faille lui cause un dommage — coûts d’intervention en masse, perte de clientèle, atteinte à sa réputation — met en demeure son propre fournisseur, distributeur ou l’éditeur selon sa chaîne contractuelle. Ces lettres fixent le point de départ des intérêts moratoires, interrompent la prescription et, surtout, ouvrent la voie à une résolution amiable : beaucoup de litiges de ce type se règlent par une prise en charge négociée des coûts, à condition que chacun ait documenté sa position au lieu de s’invectiver.
B. Les recours dans la chaîne : garantie, responsabilité et action récursoire
Une fois l’urgence traitée et les preuves figées, vient le temps de l’imputation des coûts : qui paie l’audit, les heures d’intervention, l’interruption d’activité, l’éventuelle perte de données ? Le premier fondement à examiner est la garantie des vices cachés. Aux termes de l’article 1641 du code civil, « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. » Un boîtier d’accès distant affecté d’une faille de sécurité activement exploitée, qui oblige à des mesures d’urgence et expose le système d’information, diminue à l’évidence l’usage auquel l’acheteur le destinait : une porte blindée dont la serrure s’ouvre sans clé n’est plus une porte blindée. Le vendeur ne peut se défendre qu’en démontrant que le vice était apparent, car l’article 1642 du code civil dispose que « Le vendeur n’est pas tenu des vices apparents et dont l’acheteur a pu se convaincre lui-même. » Or une vulnérabilité logicielle documentée un an après la vente, détectable seulement par des tests d’intrusion ou par l’éditeur lui-même, n’a rien d’apparent pour l’acheteur, même professionnel.
Entre professionnels, la garantie des vices cachés est redoutable pour le vendeur. Aux termes de l’article 1645 du code civil, « Si le vendeur connaissait les vices de la chose, il est tenu, outre la restitution du prix qu’il en a reçu, de tous les dommages et intérêts envers l’acheteur. » Et la Cour de cassation y attache une présomption irréfragable : dans son arrêt du 29 janvier 2025 (pourvoi n° 23-17.954), la chambre commerciale juge qu’« Il résulte de ce texte une présomption irréfragable de connaissance par le vendeur professionnel du vice de la chose vendue, qui l’oblige à réparer l’intégralité de tous les dommages qui en sont la conséquence. » Le vendeur professionnel est donc réputé connaître le vice et doit réparer tous les dommages qui en résultent, pas seulement restituer le prix. L’affaire jugée illustre la chaîne des recours : un fabricant de moteurs avait vendu un moteur à un fabricant de machines, qui l’avait intégré dans une machine cédée à un crédit-bailleur ; après l’incendie causé par le défaut, l’assureur subrogé avait agi, et le fabricant intermédiaire s’était retourné contre son propre vendeur. La Cour de cassation a censuré la cour d’appel qui limitait la garantie au prix du moteur. Transposée à notre faille, la leçon est nette : le revendeur du boîtier vulnérable, vendeur professionnel, est présumé connaître le vice et répond de l’intégralité des dommages, sous la seule réserve, posée par le même arrêt, du cas où l’acquéreur intermédiaire aurait revendu en connaissance de cause — ce qui suppose d’établir sa connaissance du vice à la date de la revente, pas après.
Le délai d’action, en revanche, ne pardonne pas l’attentisme. Aux termes de l’article 1648 du code civil, « L’action résultant des vices rédhibitoires doit être intentée par l’acquéreur dans un délai de deux ans à compter de la découverte du vice. » La découverte, ici, se situe au plus tard à la publication du bulletin de l’éditeur et de l’alerte du CERT-FR, début septembre 2026 : c’est à partir de cette date publique que le délai court, et les mises en demeure et assignations doivent être calibrées en conséquence. Le second fondement est la responsabilité du fait des produits défectueux. Aux termes de l’article 1245 du code civil, « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » Et l’article 1245-5 du code civil élargit le cercle des responsables : « Est producteur, lorsqu’il agit à titre professionnel, le fabricant d’un produit fini, le producteur d’une matière première, le fabricant d’une partie composante. Est assimilée à un producteur pour l’application du présent chapitre toute personne agissant à titre professionnel : 1° Qui se présente comme producteur en apposant sur le produit son nom, sa marque ou un autre signe distinctif ; 2° Qui importe un produit dans la Communauté européenne en vue d’une vente, d’une location, avec ou sans promesse de vente, ou de toute autre forme de distribution. » Le revendeur qui importe les boîtiers ou qui les revend sous sa propre marque peut donc être assimilé au producteur et répondre du défaut de sécurité du produit, indépendamment de tout contrat. Enfin, sur le terrain contractuel, l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » L’intégrateur lié par un contrat de maintenance qui tarde à déployer le correctif ou à alerter son client répond de ce retard, sauf à démontrer un cas de force majeure — ce qu’une alerte publique documentée depuis plusieurs semaines rendra difficile à soutenir.
Reste l’articulation des recours, qui est la véritable carte d’état-major de l’effet domino. L’entreprise cliente agit contre son intégrateur sur le terrain contractuel et, le cas échéant, sur celui des vices cachés. L’intégrateur, condamné ou mis en cause, exerce une action récursoire contre son distributeur, puis contre l’éditeur, en remontant la chaîne : chaque maillon appelle en garantie son propre vendeur, avec ses factures, ses bons de livraison, ses contrats-cadres et la preuve que le vice existait antérieurement à la vente — ce que le bulletin de l’éditeur, qui reconnaît une exploitation active d’une faille de conception, établit avec force. L’arrêt du 27 novembre 2019 déjà cité montre que le manquement au devoir d’information se paie à chaque étage : le distributeur qui n’a pas relayé l’information vers l’aval engage sa responsabilité propre, en plus de la garantie du vice. Et l’arrêt du 29 janvier 2025 montre que l’assureur qui a indemnisé peut agir par subrogation contre les responsables : les entreprises assurées doivent donc déclarer le sinistre à leur assureur sans tarder et conserver la preuve de cette déclaration, car l’assureur subrogé poursuivra ensuite la chaîne avec des moyens que l’assuré isolé n’a pas. Dans tous les cas, la prescription et les clauses limitatives de garantie des contrats-cadres doivent être relues ligne à ligne : une clause qui plafonne la responsabilité du fournisseur ne fait pas obstacle à la garantie légale des vices cachés dans les rapports entre professionnels dès lors que le vendeur est présumé connaître le vice, mais elle peut encadrer les pénalités contractuelles et les préavis.
Conclusion
La faille des boîtiers SonicWall SMA 1000, documentée le 1er septembre 2026 par l’éditeur et reprise le 2 septembre par le CERT-FR, n’est pas seulement un problème technique : c’est un test en grandeur réelle de la chaîne de distribution informatique. L’éditeur a parlé vite et publié un correctif ; le CERT-FR a prévenu que ce correctif ne suffisait pas ; la réglementation européenne impose depuis le 11 septembre 2026 aux fabricants de signaler ce type d’exploitation active en quelques heures. Il revient maintenant à chaque maillon professionnel de tenir son rang : l’intégrateur informe par écrit, suspend les ventes non corrigées et documente ses interventions ; l’entreprise cliente patche, constate et déclare ; chacun met en demeure avant de poursuivre et remonte la chaîne par l’action récursoire plutôt que de subir seul le coût de la faille. Les textes sont anciens — garantie des vices cachés, devoir d’information, responsabilité des produits défectueux — mais ils s’appliquent avec une précision redoutable aux vulnérabilités logicielles, comme la Cour de cassation vient encore de le rappeler entre professionnels. Dans l’effet domino, celui qui écrit, date et conserve ses preuves reste debout ; celui qui attend que la poussière retombe découvre qu’elle est retombée sur lui.
Besoin d’un avis rapide sur votre dossier
Intégrateur, revendeur ou entreprise cliente confronté à la faille SonicWall SMA 1000, vous pouvez demander une consultation téléphonique en 48 heures avec un avocat du cabinet. Maître Reda KOHEN, avocat au Barreau de Paris, examine avec vous vos contrats de distribution et de maintenance, vos mises en demeure et vos recours. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet. Pour un éclairage plus large sur vos litiges entre professionnels, consultez notre accompagnement en droit des affaires à Paris.