SonicWall SMA1000-kwetsbaarhedenketen staat te laat op CISA's exploited-bug-lijst

Het PSIRT-advies SNWLID-2026-0016 van SonicWall behandelt twee kwetsbaarheden in SMA1000-appliances voor beveiligde externe toegang waarvan de leverancier bevestigt dat ze actief worden misbruikt. Beide, CVE-2026-83548 en CVE-2026-83549, staan in de Known Exploited Vulnerabilities-catalogus van CISA, en de federale hersteldeadline van 5 september is al verstreken.

Hoe de twee kwetsbaarheden samen een keten vormen

CVE-2026-83548 (CVSS 10.0) is een pre-authenticatie server-side request forgery in de SMA1000 Work Place-interface: de interface stelt een onbedoelde toegangsroute bloot waardoor de appliance als forward proxy kan fungeren, zodat een niet-geauthenticeerde externe aanvaller interne functionaliteit kan bereiken die van buitenaf niet bereikbaar zou mogen zijn. CVE-2026-83549 (CVSS 7.8) is een OS-command-injectiekwetsbaarheid in de Appliance Management Console die normaal gesproken een geauthenticeerde administratorsessie zou vereisen. Geketend brengt de SSRF-kwetsbaarheid een aanvaller tot het punt waarop de command-injectiekwetsbaarheid zonder enige inloggegevens kan worden geactiveerd, wat resulteert in niet-geauthenticeerde remote code execution op internet-facing appliances. Volgens rapportages van Rapid7 en Sophos waren er op het moment van publicatie geen openbare proof-of-concept, indicators of compromise of attributie geïdentificeerd, ook al bevestigt SonicWall dat exploitatie plaatsvindt.

Getroffen modellen en oplossing

De kwetsbaarheden treffen SMA 6210-, 7210- en 8200v-appliances met firmware 12.4.3-03453 of eerder, en 12.5.0-02835 of eerder. De vaste hotfixes van SonicWall zijn 12.4.3-03526 en 12.5.0-02952; SSL VPN op SonicWall-firewalls en de afzonderlijke SMA 100-serie worden niet getroffen.

Wat te doen

• Inventariseer elke SMA1000-implementatie, fysiek en virtueel, over alle tenants heen, en noteer de firmwareversie en blootstelling aan het internet.
• Upgrade onmiddellijk naar de vaste hotfix-build; dit is geen workaround-en-wachten-situatie gezien de bevestigde exploitatie.
• Waar een onmiddellijke upgrade niet mogelijk is, verminder dan als tussenstap de blootstelling van de Work Place-interface, niet als vervanging voor patchen.
• Als er indicators of compromise worden gevonden, is de eigen richtlijn van SonicWall om fysieke appliances opnieuw te imagen of virtuele appliances vanaf nul opnieuw uit te rollen, alle gebruikers- en administratorwachtwoorden te wijzigen en TOTP-tokens te resetten.

De deadline van 5 september van CISA is specifiek bindend voor Amerikaanse federale civiele instanties, maar gezien de eigen bevestiging van SonicWall van actieve exploitatie moet elke beheerder die SMA1000 draait dit behandelen als een patch met onmiddellijke prioriteit in plaats van als een gepland onderhoudsitem.

Bronnen: SonicWall-productmelding, Rapid7, Sophos.