SonicWall har varnat kunder för att angripare aktivt utnyttjar två SonicWall SMA1000-nolldagar i en attackkedja som kan möjliggöra fjärrkörning av kod på sårbara enheter.
Företaget uppmanar organisationer att omedelbart installera den senaste snabbfixen och utreda alla tecken på kompromettering.
Två sårbarheter möjliggör kommandokörning
Attackkedjan omfattar CVE-2026-83548, en sårbarhet för kommandoinjektion med högsta allvarlighetsgrad i gränssnittet SMA1000 Appliance WorkPlace.
SonicWall uppgav att svagheten härrör från ett problem med server-side request forgery, SSRF. Angripare kan använda den tillsammans med CVE-2026-83549, en annan sårbarhet för kommandoinjektion i SMA1000 Appliance Management Console.
Den andra sårbarheten kräver administratörsbehörighet, men den gör det möjligt för angripare att köra godtyckliga operativsystemkommandon på berörda enheter.
SonicWalls produktsäkerhetsteam uppgav att det har utrett ett fall som tyder på aktivt utnyttjande av sårbarheterna.
SMA1000-enheter kräver skyndsam patchning
SonicWall SMA1000-nolldagarna påverkar modellerna SMA1000 6210, 7210 och 8200v.
De påverkar inte SSL-VPN-tjänster som körs på SonicWall-brandväggar eller produktlinjen SMA 100 Series.
Shadowserver spårar för närvarande fler än 400 SMA1000-enheter som är exponerade på internet. Vissa kan redan ha fått snabbfixen, men internetanslutna enheter förblir särskilt attraktiva mål.
SonicWall rekommenderar att kunder uppdaterar både fysiska och virtuella SMA1000-enheter till den senaste snabbfixen så snart som möjligt.
Organisationer bör kontrollera om enheter har komprometterats
Om administratörer hittar indikatorer på kompromettering rekommenderar SonicWall att de installerar om den berörda enheten, ändrar alla administratörs- och användarlösenord och återställer tidsbaserade engångslösenordstokens.
Företaget har ännu inte delat tekniska detaljer om de aktiva attackerna eller indikatorer på kompromettering.
SMA1000-enheter ger säker fjärråtkomst för stora företag, myndigheter och organisationer inom kritisk infrastruktur. Den rollen gör framgångsrikt utnyttjande särskilt allvarligt.
Angripare har upprepade gånger riktat in sig på SonicWall SMA1000-sårbarheter. Tidigare nolldagar användes för att installera anpassad skadlig programvara, och CISA bekräftade senare att ransomwaregrupper hade börjat utnyttja några av dessa sårbarheter.
0 svar till ”SonicWall varnar för SMA1000-nolldagar som utnyttjas aktivt”