SonicWall znów pod ostrzałem hakerów

Dwie krytyczne luki w SonicWall SMA1000

Administratorzy urządzeń SonicWall SMA1000 muszą liczyć się z kolejną falą ataków. Producent ostrzegł przed dwiema podatnościami, które są już aktywnie wykorzystywane w realnym środowisku. Problem dotyczy urządzeń służących do bezpiecznego zdalnego dostępu do zasobów firmowych, używanych głównie przez średnie i duże organizacje oraz instytucje publiczne.

Według opublikowanych informacji chodzi o dwa błędy oznaczone jako CVE-2026-83548 i CVE-2026-83549. Obie luki dotyczą serii SMA 1000, w tym modeli 6210, 7210 oraz 8200v.

Co dokładnie umożliwiają podatności?

Pierwsza z nich, CVE-2026-83548, to krytyczna luka typu SSRF przed uwierzytelnieniem. W praktyce oznacza to, że napastnik bez logowania może zmusić urządzenie do wysyłania żądań do wewnętrznych, normalnie niedostępnych zasobów. Taki scenariusz bywa wykorzystywany do obejścia zabezpieczeń i dalszej kompromitacji systemu.

Druga podatność, CVE-2026-83549, dotyczy konsoli zarządzającej AMC i polega na OS command injection po uwierzytelnieniu. W sprzyjających warunkach atakujący, który uzyska dostęp do panelu administracyjnego, może doprowadzić do zdalnego wykonania poleceń jako administrator.

Co ważne, obie podatności można połączyć. To oznacza, że łańcuch ataku może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia.

Kogo dotyczy zagrożenie?

Producent wskazuje, że podatne są urządzenia z wersjami:

• 12.4.3-03453 (platform-hotfix) i starszymi
• 12.5.0-02835 (platform-hotfix) i starszymi

Nie są natomiast objęte tym problemem:

• SSL-VPN na zaporach SonicWall
• linia produktów SMA 100

Są już poprawki i nie ma obejścia

SonicWall udostępnił platform-hotfixy, które usuwają luki:

• 12.4.3-03526 (platform-hotfix) i nowsze
• 12.5.0-02952 (platform-hotfix) i nowsze

Firma nie podała skutecznego workaroundu, dlatego jedyną rozsądną reakcją jest jak najszybsze wdrożenie aktualizacji. To szczególnie istotne, że producent potwierdził aktywną eksploatację błędów, a amerykańska CISA dodała je do katalogu KEV.

To nie pierwszy raz, gdy SMA1000 trafia na celownik

Seria SMA1000 od dłuższego czasu przyciąga uwagę atakujących. W ostatnich miesiącach pojawiały się już kolejne incydenty związane z aktywnie wykorzystywanymi podatnościami, a środowisko bezpieczeństwa obserwuje wyraźny wzrost zainteresowania tymi urządzeniami ze strony grup ransomware.

Dla administratorów wniosek jest prosty: jeśli w infrastrukturze działa SMA1000, trzeba pilnie zweryfikować wersję oprogramowania, sprawdzić stan wdrożenia poprawek i przejrzeć środowisko pod kątem oznak kompromitacji. W przypadku wykrycia incydentu producent zaleca ponowne wdrożenie urządzenia, zmianę haseł użytkowników i administratorów oraz reset tokenów.