Vulnerabilitate critică în SonicWall SMA 1000: tentative de exploatare la doar câteva zile după patch

Atacatorii testează deja echipamentele SonicWall Secure Mobile Access (SMA) 1000 pentru CVE-2026-102255, o vulnerabilitate de severitate maximă (CVSS 10.0), corectată abia pe 6 octombrie 2026. Dacă aveți un SMA 1000 accesibil din internet și încă neactualizat, tratați-l ca prioritate chiar azi.

Ce s-a întâmplat

Vulnerabilitatea: CVE-2026-102255 este o problemă de tip server-side request forgery (SSRF) exploatabilă înainte de autentificare. Un atacator neautentificat poate determina echipamentul să trimită cereri în numele lui, ajungând la funcționalități interne și executând operațiuni neautorizate.
Corecția: SonicWall a publicat versiunile corectate pe 6 octombrie 2026 — 12.4.3-03670 (platform-hotfix) și 12.5.0-03082 (platform-hotfix).
Tentativele: Firme de threat intelligence au raportat primele tentative de exploatare pe 8 octombrie, la doar două zile distanță. Un set de date indică 135 de tentative până acum, venite de la două adrese IP din SUA. La momentul raportării, avizul SonicWall nu fusese încă actualizat pentru a menționa exploatarea activă.

Este vorba despre tentative de exploatare — informațiile publice nu confirmă încă dacă, și câte, echipamente au fost compromise efectiv prin această vulnerabilitate.

De ce contează

Nu este prima dată anul acesta când SMA 1000 este o țintă. În iunie 2026, alte două vulnerabilități din același produs — CVE-2026-15409 (CVSS 10.0) și CVE-2026-15410 (CVSS 7.2) — au fost exploatate ca zero-day de un grup urmărit sub numele UTA0533, care a instalat web shell-uri Java și un malware numit KNUCKLEBALL.

Echipele de incident response care au investigat acele atacuri au descris un scenariu cunoscut: compromiterea echipamentului expus în internet, folosirea lui ca punct de sprijin discret pentru a rula comenzi pe sistemul de operare și menținerea accesului pe termen lung. Apoi, atacatorii au extras credențiale, baze de date cu sesiuni active și configurațiile seed pentru MFA de tip TOTP, după care s-au deplasat în rețeaua internă a companiei.

Acesta este riscul real. Un gateway de acces la distanță stă la marginea rețelei și deține cheile acesteia. Seed-urile MFA furate permit generarea de coduri valide chiar și după resetarea parolelor. O nouă vulnerabilitate pre-autentificare în același echipament — aflată acum sub tentative active — readuce organizațiile pe același drum.

Ce trebuie să faceți

Aplicați patch-ul acum. Actualizați echipamentele SMA 1000 la 12.4.3-03670 sau 12.5.0-03082 (platform-hotfix) ori mai nou. Nu așteptați ca avizul să fie marcat „exploatat".
Reduceți expunerea. Dacă nu puteți actualiza imediat, restricționați accesul la interfața de administrare și, unde se poate, la echipamentul însuși, doar din intervale IP de încredere.
Căutați urme, nu doar actualizați. Analizați jurnalele echipamentului și ale proxy-ului începând cu 6 octombrie pentru cereri neobișnuite pornite de la echipament și conexiuni interne neașteptate. Verificați existența unor fișiere necunoscute sau web shell-uri.
Dacă ați fost expuși în timpul zero-day-urilor din iunie, presupuneți că acreditările pot fi compromise: schimbați parolele conturilor folosite prin echipament, invalidați sesiunile active și reînrolați MFA-ul TOTP, astfel încât eventualele seed-uri furate să devină inutile.
Monitorizați mișcarea laterală. Setați alerte pentru conexiuni noi de la echipamentul SMA către servere interne, controllere de domeniu și interfețe de administrare cu care nu comunică în mod normal.
Inventariați perimetrul. Asigurați-vă că știți fiecare echipament de acces la distanță pe care îl dețineți, versiunea lui și cine răspunde de actualizarea lui — echipamentele de la margine rămân una dintre cele mai sigure căi de intrare pentru atacatori.

Pe baza informațiilor publicate de The Hacker News.

Echipa 4Tify