Łańcuch luk w SonicWall SMA1000 jest zaległy na liście wykorzystywanych błędów CISA

Porada PSIRT firmy SonicWall o identyfikatorze SNWLID-2026-0016 opisuje dwie podatności w urządzeniach SMA1000 do bezpiecznego dostępu zdalnego, które producent potwierdza jako aktywnie wykorzystywane. Obie, CVE-2026-83548 i CVE-2026-83549, znajdują się w katalogu Known Exploited Vulnerabilities CISA, a federalny termin usunięcia podatności z 5 września już minął.

Jak dwie luki łączą się ze sobą

CVE-2026-83548 (CVSS 10.0) to podatność typu server-side request forgery przed uwierzytelnieniem w interfejsie Work Place SMA1000: interfejs udostępnia niezamierzoną ścieżkę dostępu, która pozwala urządzeniu działać jako forward proxy, dzięki czemu nieautoryzowany zdalny atakujący może dotrzeć do wewnętrznych funkcji, które nie powinny być dostępne z zewnątrz. CVE-2026-83549 (CVSS 7.8) to luka typu OS command injection w konsoli Appliance Management Console, która normalnie wymaga uwierzytelnionej sesji administratora. Po połączeniu luka SSRF umożliwia atakującemu dotarcie do punktu, w którym można wywołać lukę command-injection bez żadnych poświadczeń, co skutkuje nieautoryzowanym zdalnym wykonaniem kodu na urządzeniach wystawionych na internet. Według doniesień Rapid7 i Sophos, w momencie publikacji nie zidentyfikowano publicznego proof-of-concept, wskaźników kompromitacji ani atrybucji, mimo że SonicWall potwierdza występowanie eksploatacji.

Dotknięte modele i poprawka

Podatności dotyczą urządzeń SMA 6210, 7210 i 8200v z firmware 12.4.3-03453 lub starszym oraz 12.5.0-02835 lub starszym. Poprawione hotfixy SonicWall to 12.4.3-03526 i 12.5.0-02952; SSL VPN na zaporach SonicWall oraz oddzielna seria SMA 100 nie są dotknięte.

Co należy zrobić

• Zainwentaryzuj wszystkie wdrożenia SMA1000, fizyczne i wirtualne, we wszystkich tenantach, zapisując wersję firmware i ekspozycję na internet.
• Natychmiast zaktualizuj do poprawionego hotfixu; nie jest to sytuacja, w której można czekać na obejście, ze względu na potwierdzoną eksploatację.
• Jeśli natychmiastowa aktualizacja nie jest możliwa, tymczasowo ogranicz ekspozycję interfejsu Work Place, nie zastępując tym jednak łatania.
• Jeśli wykryto wskaźniki kompromitacji, zalecenia SonicWall zalecają ponowne obrazowanie urządzeń fizycznych lub ponowne wdrożenie wirtualnych od zera, zmianę wszystkich haseł użytkowników i administratorów oraz zresetowanie tokenów TOTP.

Termin CISA z 5 września jest wiążący wyłącznie dla federalnych agencji cywilnych USA, jednak ze względu na własne potwierdzenie aktywnej eksploatacji przez SonicWall każdy operator korzystający z SMA1000 powinien potraktować to jako łatanie priorytetowe, a nie element planowanego utrzymania.

Źródła: Ogłoszenie produktu SonicWall, Rapid7, Sophos.