SonicWall предупредува за активно експлоатирани zero-day пропусти во SMA1000

SonicWall ги предупреди своите корисници дека напаѓачи користат два нови zero-day пропусти во SMA1000, кои ги комбинираат во напади за далечинско извршување на код (RCE).

Првиот е пропуст од највисоко ниво на сериозност — command injection (CVE-2026-83548), откриен во интерфејсот Appliance WorkPlace на SMA1000, кој произлегува од слабост од типот server-side request forgery (SSRF).

Овој активно експлоатиран zero-day синџир го таргетира и пропустот за command injection (CVE-2026-83549) во Appliance Management Console на SMA1000. Напаѓачите со администраторски привилегии можат да го искористат овој пропуст за извршување произволни команди на оперативниот систем на ранливите уреди.

„SonicWall PSIRT истражи случај кој укажува на активно експлоатирање на пропустите опишани во ова известување. На корисниците силно им се препорачува што е можно поскоро да ја инсталираат верзијата со hotfix за да го отстранат овој безбедносен ризик“, предупреди компанијата во известување објавено во вторникот.

Двата безбедносни пропусти ги засегаат моделите SMA1000 6210, 7210 и 8200v, но не влијаат врз SSL-VPN функцијата што работи на SonicWall заштитните ѕидови, ниту врз производната линија SMA 100 Series.

Компанијата за следење на интернет-безбедноста Shadowserver во моментов следи повеќе од 400 SMA1000 уреди кои се достапни преку интернет, иако дел од нив можеби веќе се ажурирани и заштитени од овој синџир на експлоатација.

SonicWall ги повика сите корисници да ги ажурираат своите виртуелни или физички SMA1000 уреди со најновата верзија на hotfix.

Иако компанијата исто така им препорача на администраторите повторно да ги инсталираат системските слики на уредите (re-image), да ги променат сите кориснички и администраторски лозинки и да ги ресетираат TOTP-токените доколку бидат откриени индикатори за компромитираност (IOC), таа сè уште нема објавено детали за тековните напади, ниту список на IOC што ги открила во текот на истрагата.

Ваквите пропусти често се цел на напади бидејќи SMA1000 е уред за безбеден далечински пристап што го користат големи компании, владини институции и организации од критичната инфраструктура.

Во јули, два други пропусти во SonicWall SMA1000 (CVE-2026-15409 и CVE-2026-15410) беа искористувани во zero-day напади со недели, со цел инсталирање прилагоден малициозен софтвер на ранливи VPN-уреди. Минатиот месец, Агенцијата за сајбер-безбедност и инфраструктурна безбедност на САД (CISA) потврди дека ransomware групи започнале да ги злоупотребуваат овие два пропусти во реални напади.

Компанијата исто така ги предупреди корисниците во декември да го инсталираат безбедносното ажурирање за уште еден SMA1000 zero-day пропуст (CVE-2025-40602), кој хакерите го комбинирале со други техники за да стекнат root привилегии.

Еден месец претходно, SonicWall ги поврза хакерите поддржани од држави со безбедносен пробив во септември, при што биле изложени резервни копии на конфигурациските датотеки на заштитните ѕидови на корисниците. Ова се случило откако истражувачите предупредиле дека повеќе од 100 SonicWall SSLVPN сметки биле компромитирани со користење украдени акредитиви.

Извори:

• Bleeping Computer – SonicWall warns of actively exploited SMA1000 zero-day flaws Bleeping Computer