Catena di falle in SonicWall SMA1000: scaduto il termine CISA per la correzione

L'advisory PSIRT di SonicWall SNWLID-2026-0016 riguarda due vulnerabilità negli appliance di accesso remoto sicuro SMA1000 che il fornitore conferma essere attivamente sfruttate. Entrambe, CVE-2026-83548 e CVE-2026-83549, sono nel catalogo Known Exploited Vulnerabilities di CISA e la scadenza federale per la correzione del 5 settembre è già passata.

Come si concatenano le due falle

CVE-2026-83548 (CVSS 10.0) è una SSRF pre-autenticazione nell'interfaccia Work Place di SMA1000: l'interfaccia espone una via di accesso involontaria che permette all'appliance di fungere da forward proxy, così un aggressore remoto non autenticato può raggiungere funzionalità interne che non dovrebbero essere accessibili dall'esterno. CVE-2026-83549 (CVSS 7.8) è una falla di OS command injection nella Appliance Management Console che normalmente richiederebbe una sessione di amministratore autenticata. Concatenate, la falla SSRF porta l'aggressore al punto in cui la falla di command injection può essere attivata senza alcuna credenziale, determinando l'esecuzione di codice remoto non autenticata sugli appliance esposti su internet. Secondo quanto riportato da Rapid7 e Sophos, al momento della pubblicazione non erano stati identificati proof-of-concept pubblici, indicatori di compromissione o attribuzione, anche se SonicWall conferma che lo sfruttamento è in corso.

Modelli interessati e correzione

Le falle interessano gli appliance SMA 6210, 7210 e 8200v con firmware 12.4.3-03453 o precedente e 12.5.0-02835 o precedente. Le correzioni hotfix di SonicWall sono 12.4.3-03526 e 12.5.0-02952; SSL VPN sui firewall SonicWall e la serie separata SMA 100 non sono interessate.

Cosa fare

• Inventaria ogni distribuzione SMA1000, fisica e virtuale, in tutti i tenant, registrando la versione del firmware e l'esposizione su internet.
• Aggiorna subito alla build hotfix correttiva; non è una situazione da workaround e attesa, visto lo sfruttamento confermato.
• Dove un aggiornamento immediato non è possibile, riduci l'esposizione dell'interfaccia Work Place come misura provvisoria, non come sostituto della patch.
• Se trovi indicatori di compromissione, le indicazioni di SonicWall sono di ricreare l'immagine degli appliance fisici o ridistribuire da zero quelli virtuali, cambiare tutte le password di utenti e amministratori e resettare i token TOTP.

La scadenza del 5 settembre di CISA è vincolante specificamente per le agenzie civili federali statunitensi, ma data la conferma di SonicWall dello sfruttamento attivo, ogni operatore che utilizza SMA1000 dovrebbe trattarla come una patch a priorità immediata piuttosto che come un intervento di manutenzione programmata.

Fonti: avviso prodotto SonicWall, Rapid7, Sophos.