Faille Sophos UTM CVE-2026-118633 : exécution de code sans authentification, correctif manuel à installer

La réponse courte : le 28 octobre 2026, Sophos a publié un correctif pour CVE-2026-118633, une faille critique de Sophos UTM. Un attaquant distant, sans authentification, peut exécuter des commandes avec les droits root sur le boîtier lorsque le proxy de messagerie est utilisé avec l’analyse activée. Sophos UTM est en fin de vie : le correctif ne s’installe donc pas automatiquement, il faut l’appliquer à la main en suivant l’article de support KBA-000049692. Si votre UTM filtre encore vos e-mails, c’est à faire tout de suite, et le remplacement du boîtier doit passer en tête de liste.

Au Maroc, beaucoup de PME ont gardé un Sophos UTM ou un boîtier SG, parfois en passerelle SMTP devant la messagerie. Voici ce que disent l’éditeur et le maCERT de la DGSSI, et ce qu’il faut faire.

Ce qui est touché

Produit	Versions touchées	Correction
Sophos UTM avec proxy de messagerie et analyse activés (Email Protection)	toutes les versions selon Sophos ; versions antérieures à 9.724 selon le bulletin maCERT	correctif à installer manuellement (Sophos KBA-000049692)
Sophos UTM sans Email Protection	toutes les versions selon Sophos, mais l’avis lie l’attaque au proxy de messagerie	correctif recommandé ; migration à planifier
Sophos Firewall (SFOS, boîtiers XGS)	non cité dans l’avis	aucune action liée à cette alerte

Sources : avis Sophos sophos-sa-20261028-utm-rce du 28 octobre 2026 et bulletin maCERT 70252910/26 du 29 octobre 2026. L’avis de Sophos ne donne pas de numéro de version corrigée : il renvoie à la procédure d’installation de son article de support.

Ce que décrit Sophos : une faille de type traversée de répertoire (path traversal). L’attaquant peut exécuter des commandes en root après avoir gagné une situation de compétition (race condition), en répétant ses tentatives pendant quelques minutes. La faille a été signalée par un chercheur externe, Sam Pizzey, via le programme de bug bounty de Sophos.

Gravité et exploitation

• Gravité publiée : Sophos classe la faille « critique ». L’avis ne publie pas de score CVSS.
• Exploitation : l’avis de Sophos ne mentionne aucune exploitation. CVE-2026-118633 ne figurait pas dans le catalogue CISA KEV des vulnérabilités exploitées, dans sa version du 30 octobre 2026.
• maCERT : le bulletin 70252910/26 du 29 octobre 2026, intitulé « Vulnérabilité critique dans Sophos UTM », classe le risque et l’impact au niveau critique. Il précise que la faille concerne Sophos UTM configuré comme passerelle SMTP.
• Contournement : aucun, selon Sophos.

Pourquoi c’est sérieux malgré l’absence d’exploitation connue : un UTM en passerelle de messagerie reçoit des connexions de n’importe quel serveur sur internet. Un accès root sur ce boîtier donne la main sur le pare-feu lui-même, les VPN, les règles et le trafic des utilisateurs. Et maintenant que l’avis est public, la description de l’attaque l’est aussi.

Le paradoxe de la fin de vie

Notre guide sur la fin de vie de Sophos UTM le rappelait : depuis le 30 juin 2026, UTM ne reçoit plus de mise à jour du système, et Sophos n’assure aucun support au-delà du 31 décembre 2026. Ce correctif est une exception, et Sophos le dit sans détour : « Sophos UTM is end-of-life and the patch must be installed manually ». La seule autre voie qu’il propose est le passage à Sophos Firewall.

Concrètement, ne comptez pas sur ce genre d’exception pour la prochaine faille. Un boîtier qui dépend de correctifs manuels et ponctuels n’est plus une protection fiable.

Les mesures d’attente

Si le correctif ne peut pas être installé immédiatement :

1. Sauvegarder la configuration de l’UTM avant toute intervention.
2. Vérifier si Email Protection est réellement utilisé : proxy SMTP actif, analyse antispam et antivirus des messages. Si la fonction n’est plus utile, la désactiver réduit l’exposition décrite par Sophos.
3. Limiter qui peut se connecter au port SMTP de l’UTM quand votre architecture le permet, par exemple aux seules adresses de votre service de filtrage ou de votre fournisseur de messagerie.
4. Restreindre l’interface d’administration (WebAdmin) et le portail utilisateur au réseau interne.
5. Planifier la sortie d’UTM : déporter le filtrage des e-mails vers votre messagerie (Microsoft 365, Google Workspace) ou un service dédié, et remplacer le pare-feu.

Les vérifications à faire

• Lister tous vos UTM, y compris les boîtiers de secours, les sites secondaires et les instances virtuelles.
• Confirmer l’installation du correctif sur chacun, selon la procédure de l’article KBA-000049692.
• Relire les journaux SMTP des derniers jours : pics de connexions répétées depuis une même adresse, sessions anormalement nombreuses ou longues.
• Contrôler les comptes d’administration et les règles de pare-feu : tout compte ou toute règle inconnue doit être examiné.
• En cas de doute, traiter le boîtier comme compromis : changer les mots de passe d’administration et les secrets des VPN, puis appliquer notre plan de réponse à incident pour la première heure.

Notre lecture pour les entreprises au Maroc

Cette alerte illustre le risque concret d’un équipement en fin de vie laissé en première ligne. Elle touche en plus la messagerie, qui est déjà le premier vecteur de compromission de messagerie et de fraude au virement. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter les bulletins du maCERT. Notre méthode de gestion des correctifs aide à ne pas oublier un boîtier.

Pour le remplacement, notre guide d’achat d’un pare-feu d’entreprise au Maroc et notre comparatif Sophos ou WatchGuard détaillent les options.

Comment nous pouvons vous aider

Soyons transparents : ALLSAFE SOLUTIONS n’est pas partenaire Sophos. Pour rester chez Sophos en passant à Sophos Firewall, un partenaire Sophos vous accompagnera. Nous pouvons en revanche faire l’inventaire de vos UTM, vérifier leur exposition et l’usage d’Email Protection, et préparer la migration vers un FortiGate, en tant qu’intégrateur Fortinet au Maroc, ou vers un Firebox, en tant que partenaire WatchGuard au Maroc, avec le filtrage des e-mails replacé au bon endroit. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes.

Découvrez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis de sécurité Sophos sophos-sa-20261028-utm-rce, maCERT : bulletin 70252910/26, fiche CVE-2026-118633, NVD CVE-2026-118633, catalogue CISA KEV.