SonicWall SMA1000 sårbarhetskedja försenad på CISA:s lista över utnyttjade buggar

Två kedjade SonicWall SMA1000-sårbarheter låter en oautentiserad angripare uppnå fjärrkodexekvering. Den federala patch-deadlinen passerade 5 september medan utnyttjandet fortsätter.

I den här artikeln

Hur de två sårbarheterna kedjas ihop
Berörda modeller och fix
Vad man ska göra

SonicWall:s PSIRT-råd SNWLID-2026-0016 täcker två sårbarheter i SMA1000-apparater för säker fjärråtkomst som tillverkaren bekräftar utnyttjas aktivt. Båda, CVE-2026-83548 och CVE-2026-83549, finns i CISA:s katalog över kända utnyttjade sårbarheter, och den federala deadline för åtgärd den 5 september har redan passerat.

En nätverksswitch med många SFP-portar och en härva av grå, svarta och gula kablar i ett rack. — Foto: DiFronzo (CC BY 2.0), Wikimedia Commons.

Hur de två sårbarheterna kedjas ihop

CVE-2026-83548 (CVSS 10.0) är en pre-autentiserings server-side request forgery i SMA1000 Work Place-gränssnittet: gränssnittet exponerar en oavsedd åtkomstväg som låter apparaten fungera som en forward proxy, så en oautentiserad fjärrangripare kan nå intern funktionalitet som inte borde vara åtkomlig utifrån. CVE-2026-83549 (CVSS 7.8) är en OS-kommandoinjektionssårbarhet i Appliance Management Console som normalt kräver en autentiserad administratörssession. Kedjade gör SSRF-sårbarheten att en angripare når den punkt där kommandoinjektionssårbarheten kan utlösas utan några autentiseringsuppgifter, vilket resulterar i oautentiserad fjärrkodexekvering på internetexponerade apparater. Enligt rapportering från Rapid7 och Sophos hade ingen offentlig proof-of-concept, indikatorer på kompromiss eller attribution identifierats vid publiceringstillfället, även om SonicWall bekräftar att utnyttjande pågår.

Berörda modeller och fix

Sårbarheterna påverkar SMA 6210, 7210 och 8200v-apparater som kör firmware 12.4.3-03453 eller tidigare, samt 12.5.0-02835 eller tidigare. SonicWall:s fixade hotfixes är 12.4.3-03526 och 12.5.0-02952; SSL VPN på SonicWall-brandväggar och den separata SMA 100-serien påverkas inte.

Vad man ska göra

Inventera alla SMA1000-installationer, fysiska och virtuella, över alla tenants, och notera firmwareversion samt internetexponering.
Uppgradera till den fixade hotfix-builden omedelbart; detta är inte en situation för workaround-and-wait med tanke på bekräftat utnyttjande.
Där en omedelbar uppgradering inte är möjlig, minska exponeringen av Work Place-gränssnittet som ett interimistiskt steg, inte som ersättning för patchning.
Om indikatorer på kompromiss hittas är SonicWall:s egen vägledning att återinstallera fysiska apparater eller återinstallera virtuella från grunden, ändra alla användar- och administratörslösenord samt återställa TOTP-tokens.

CISA:s deadline den 5 september är bindande specifikt för federala civila myndigheter i USA, men med SonicWall:s egen bekräftelse av aktivt utnyttjande bör alla operatörer som kör SMA1000 behandla det som en omedelbar prioriterad patch snarare än ett schemalagt underhållsärende.

Källor: SonicWall produktmeddelande, Rapid7, Sophos.