SonicWall публикува извънредни корекции за четири уязвимости в своите устройства SMA1000 — шлюзовете, които осигуряват на отдалечените служители достъп до фирмената мрежа и приложения. Най-сериозната от тях би могла да позволи на атакуващ без налични данни за вход да изпраща заявки през устройството и да достигне до вътрешни функции.
SonicWall я оценява с 10.0 по скалата CVSS и заявява, че няма данни някоя от четирите уязвимости да е използвана в реални атаки.
Най-критичната уязвимост, проследявана като CVE-2026-102255, е грешка от тип Server-Side Request Forgery (SSRF) във WorkPlace — портала, през който потребителите на SMA1000 се влизат в системата. Тя съществува поради непредвиден път за достъп през SonicWall и може да бъде достигната преди автентикация.
Атакуващ, който злоупотреби с този път, би могъл да „достигне до вътрешна функционалност и да извърши неоторизирани операции“, посочва SonicWall в своя бюлетин за сигурност от 6 октомври, без да уточнява кои точно функции.
И четирите уязвимости засягат моделите SMA1000 6210, 7210 и 8200v със следните версии на платформата:
- Версия 12.4.3: Версии 12.4.3-03526 и по-стари са засегнати. Версии 12.4.3-03670 и по-нови са коригирани.
- Версия 12.5.0: Версии 12.5.0-02952 и по-стари са засегнати. Версии 12.5.0-03082 и по-нови са коригирани.
Засегнатите версии включват 12.4.3-03526 и 12.5.0-02952, които SonicWall посочи на 1 септември като корекция за две уязвимости, експлоатирани активно. Устройство, което все още използва тези версии, се нуждае от новата извънредна корекция за сигурност.
SSL-VPN върху защитните стени SonicWall и серията SMA 100 не са засегнати.
Корекцията за сигурност е достъпна в портала MySonicWall, като устройството се рестартира след приключване на инсталацията. Не е посочен алтернативен метод за облекчаване на риска (workaround).
Останалите три уязвимости могат да бъдат използвани само след влизане в системата. Две от тях са в Appliance Management Console (AMC), където администраторите конфигурират устройството.
| CVE | Уязвимост | Къде | Необходим достъп | SonicWall CVSS оценка |
|---|---|---|---|---|
| CVE-2026-102255 | Server-side request forgery (SSRF) | WorkPlace | Няма | 10.0 |
| CVE-2026-102256 | Инжектиране на OS команди, което може да доведе до отдалечено изпълнение на код | Устройство SMA1000, неназован компонент | Администраторски достъп | 7.8 |
| CVE-2026-102257 | Zip Slip: атакуващ може да използва специално подготвен архив, за да извлече файлове извън предвидената папка, което би могло да доведе до отдалечено изпълнение на код | AMC | Потребителски достъп | 7.2 |
| CVE-2026-102258 | Запазен cross-site scripting (XSS) | AMC | Администраторски достъп | 5.5 |
Това е третият път тази година, в който SonicWall отстранява уязвимост от тип SSRF с оценка 10.0 във WorkPlace, която не изисква автентикация.
SonicWall разкри CVE-2026-15409 и CVE-2026-15410 на 14 юли, а CVE-2026-83548 и CVE-2026-83549 на 1 септември. И в двата случая компанията заяви, че е разследвала атаки, експлоатиращи уязвимостите: „множество случаи“ през юли и „един случай“ през септември. Всяка двойка се състоеше от SSRF уязвимост без необходимост от достъп и втора уязвимост, която може да позволи на автентикиран администратор да изпълнява команди върху устройството.
Собственият екип на SonicWall откри и двете двойки. За четирите нови уязвимости SonicWall благодари на външни изследователи: Benoît Sevens от Anthropic за CVE-2026-102255 и CVE-2026-102256, и Brian Mariani от DigitalCanion SA за останалите две, една от които е докладвана през Zero Day Initiative на Trend Micro.
При атаките от юли CVE-2026-15409 е позволила на атакуващ без налични данни за вход да отвори тунел към услуги, които отговарят само във вътрешността на устройството, според Rapid7. След това атакуващият е можел да изпълнява команди и да използва CVE-2026-15410, за да получи root достъп, т.е. пълен контрол върху устройството.
SonicWall все още не е уточнила дали новата SSRF уязвимост може да бъде комбинирана с останалите три по същия начин.
В бюлетините си от юли и септември SonicWall препоръча на клиентите си да проверят устройствата си за индикатори за компрометиране (IoC) и при откриване на такива да преинсталират или внедрят отново устройството, да променят потребителските и администраторските пароли и да нулират TOTP токените, използвани за еднократни кодове за вход. Не са предоставени подобни инструкции за четирите нови уязвимости.