Cadeia de falhas no SonicWall SMA1000 está em atraso na lista de bugs explorados da CISA

O aviso do PSIRT da SonicWall SNWLID-2026-0016 abrange duas vulnerabilidades nos appliances de acesso remoto seguro SMA1000 que o fabricante confirma estarem a ser exploradas ativamente. Ambas, CVE-2026-83548 e CVE-2026-83549, constam do catálogo Known Exploited Vulnerabilities da CISA, e o prazo federal de remediação de 5 de setembro já passou.

Como as duas falhas se encadeiam

CVE-2026-83548 (CVSS 10.0) é uma falsificação de pedido do lado do servidor pré-autenticação na interface Work Place do SMA1000: a interface expõe uma rota de acesso não intencional que permite ao appliance atuar como proxy de encaminhamento, para que um atacante remoto não autenticado possa aceder a funcionalidades internas que não deveriam estar acessíveis do exterior. CVE-2026-83549 (CVSS 7.8) é uma falha de injeção de comandos do SO na Appliance Management Console que normalmente exigiria uma sessão autenticada de administrador. Encadeadas, a falha SSRF leva o atacante ao ponto em que a falha de injeção de comandos pode ser acionada sem quaisquer credenciais, resultando em execução remota de código não autenticada em appliances expostos à Internet. De acordo com relatórios da Rapid7 e Sophos, não foram identificados até à data de publicação prova de conceito pública, indicadores de compromisso ou atribuição, embora a SonicWall confirme que a exploração está a ocorrer.

Modelos afetados e correção

As falhas afetam os appliances SMA 6210, 7210 e 8200v com firmware 12.4.3-03453 ou anterior, e 12.5.0-02835 ou anterior. As correções hotfix da SonicWall são 12.4.3-03526 e 12.5.0-02952; o SSL VPN nos firewalls da SonicWall e a série SMA 100 separada não são afetados.

O que fazer

• Inventarie todas as implementações SMA1000, físicas e virtuais, em todos os tenants, registando a versão do firmware e a exposição à Internet.
• Atualize imediatamente para a compilação hotfix corrigida; não é uma situação de solução temporária e espera, dada a exploração confirmada.
• Quando uma atualização imediata não for possível, reduza a exposição da interface Work Place como medida intermédia, não como substituto da correção.
• Se forem encontrados indicadores de compromisso, a orientação própria da SonicWall é reimager os appliances físicos ou reimplementar os virtuais do zero, alterar todas as palavras-passe de utilizador e administrador, e repor os tokens TOTP.

O prazo de 5 de setembro da CISA é vinculativo especificamente para as agências civis federais dos EUA, mas, dada a confirmação própria da SonicWall de exploração ativa, todos os operadores que executam SMA1000 devem tratá-lo como uma correção de prioridade imediata em vez de um item de manutenção agendada.

Fontes: Aviso de produto da SonicWall, Rapid7, Sophos.