Lanțul de vulnerabilități SonicWall SMA1000 întârzie pe lista CISA a erorilor exploatate

Avizul PSIRT al SonicWall SNWLID-2026-0016 acoperă două vulnerabilități în aparatele de acces la distanță securizat SMA1000 pe care furnizorul confirmă că sunt exploatate activ. Ambele, CVE-2026-83548 și CVE-2026-83549, se află în catalogul CISA al Vulnerabilităților Cunoscute Exploatate, iar termenul federal de remediere de 5 septembrie a trecut deja.

Cum se înlănțuiesc cele două vulnerabilități

CVE-2026-83548 (CVSS 10.0) este o falsificare de cereri la nivel de server pre-autentificare în interfața Work Place a SMA1000: interfața expune o cale de acces neintenționată care permite aparatului să acționeze ca proxy de redirecționare, astfel încât un atacator la distanță neautentificat poate ajunge la funcționalități interne care nu ar trebui să fie accesibile din exterior. CVE-2026-83549 (CVSS 7.8) este o vulnerabilitate de injectare de comenzi de sistem de operare în Consola de Administrare a Aparatului care ar necesita în mod normal o sesiune de administrator autentificat. Înlănțuite, vulnerabilitatea SSRF aduce un atacator în punctul în care vulnerabilitatea de injectare de comenzi poate fi declanșată fără nicio credențială, rezultând în execuție de cod de la distanță neautentificată pe aparate expuse la internet. Conform raportărilor de la Rapid7 și Sophos, nu au fost identificate dovezi publice de concept, indicatori de compromitere sau atribuire la momentul publicării, chiar dacă SonicWall confirmă că exploatarea are loc.

Modele afectate și remediere

Vulnerabilitățile afectează aparatele SMA 6210, 7210 și 8200v care rulează firmware 12.4.3-03453 sau mai vechi, și 12.5.0-02835 sau mai vechi. Hotfix-urile corectate ale SonicWall sunt 12.4.3-03526 și 12.5.0-02952; SSL VPN pe firewall-urile SonicWall și seria separată SMA 100 nu sunt afectate.

Ce trebuie făcut

• Inventariați fiecare implementare SMA1000, fizică și virtuală, în toți chiriașii, înregistrând versiunea de firmware și expunerea la internet.
• Actualizați imediat la versiunea hotfix corectată; aceasta nu este o situație de soluție temporară și așteptare, având în vedere exploatarea confirmată.
• Acolo unde o actualizare imediată nu este posibilă, reduceți expunerea interfeței Work Place ca pas interimar, nu ca substitut pentru corectare.
• Dacă se găsesc indicatori de compromitere, îndrumarea proprie a SonicWall este să re-imaginați aparatele fizice sau să redesfășurați cele virtuale de la zero, să schimbați toate parolele de utilizator și de administrator și să resetați token-urile TOTP.

Termenul CISA de 5 septembrie este obligatoriu în mod specific pentru agențiile civile federale din SUA, dar având în vedere confirmarea proprie a SonicWall a exploatării active, fiecare operator care rulează SMA1000 ar trebui să o trateze ca pe o corecție cu prioritate imediată, nu ca pe un element de întreținere programată.

Surse: Aviz de produs SonicWall, Rapid7, Sophos.