SonicWall har advart kunder om at angripere aktivt utnytter to SonicWall SMA1000-null-dager i en angrepskjede som kan muliggjøre ekstern kjøring av kode på sårbare enheter.
Selskapet oppfordrer organisasjoner til å installere den nyeste hurtigreparasjonen umiddelbart og undersøke alle tegn på kompromittering.
To sårbarheter muliggjør kommandokjøring
Angrepskjeden omfatter CVE-2026-83548, en kommandoinjeksjonssårbarhet med høyeste alvorlighetsgrad i SMA1000 Appliance WorkPlace-grensesnittet.
SonicWall opplyste at svakheten stammer fra et problem med server-side request forgery, SSRF. Angripere kan bruke den sammen med CVE-2026-83549, en annen kommandoinjeksjonssårbarhet i SMA1000 Appliance Management Console.
Den andre sårbarheten krever administratorrettigheter, men den gjør det mulig for angripere å kjøre vilkårlige operativsystemkommandoer på berørte enheter.
SonicWalls produktsikkerhetsteam opplyste at det har undersøkt et tilfelle som tyder på aktiv utnyttelse av sårbarhetene.
SMA1000-enheter krever rask patching
SonicWall SMA1000-null-dagene påvirker modellene SMA1000 6210, 7210 og 8200v.
De påvirker ikke SSL-VPN-tjenester som kjører på SonicWall-brannmurer eller produktlinjen SMA 100 Series.
Shadowserver sporer for øyeblikket mer enn 400 SMA1000-enheter som er eksponert på internett. Noen kan allerede ha mottatt hurtigreparasjonen, men internetteksponerte enheter er fortsatt særlig attraktive mål.
SonicWall anbefaler at kunder oppdaterer både fysiske og virtuelle SMA1000-enheter til den nyeste hurtigreparasjonen så snart som mulig.
Organisasjoner bør kontrollere for kompromittering
Hvis administratorer finner indikatorer på kompromittering, anbefaler SonicWall at de reinstallerer den berørte enheten, endrer alle administrator- og brukerpassord og tilbakestiller tidsbaserte engangspassordtoken.
Selskapet har ennå ikke delt tekniske detaljer om de aktive angrepene eller indikatorer på kompromittering.
SMA1000-enheter gir sikker ekstern tilgang for store virksomheter, offentlige organer og organisasjoner innen kritisk infrastruktur. Denne rollen gjør vellykket utnyttelse særlig alvorlig.
Angripere har gjentatte ganger rettet seg mot SonicWall SMA1000-sårbarheter. Tidligere null-dager ble brukt til å installere tilpasset skadelig programvare, og CISA bekreftet senere at ransomwaregrupper hadde begynt å utnytte noen av disse sårbarhetene.
0 responses to “SonicWall advarer om SMA1000-null-dager som utnyttes aktivt”