SonicWall не исправит две уязвимости в снятой с поддержки GMS

SonicWall предупредила о двух уязвимостях в Global Management System (GMS) версии 9.5.2 и более ранних релизах. Одна из них, CVE-2026-109593, получила оценку CVSS 9,1 и позволяет без аутентификации читать внутренние файлы GMS при наличии сетевого доступа. Вторая, CVE-2026-109594, оценена в 6,8 и связана с SQL-инъекцией после аутентификации.

Исправлений для GMS не будет

Компания сообщила, что затронутый продукт достиг статуса End-of-Life. Поэтому SonicWall не планирует выпускать ни исправления, ни обновления безопасности для обеих проблем. Организациям, которые продолжают использовать GMS, рекомендовано учитывать связанные с этим риски и переходить на SonicWall Network Security Manager (NSM).

Эксплуатация CVE-2026-109593 не требует учётной записи. Атакующий с сетевым доступом к уязвимой системе может прочитать внутренние файлы GMS, что потенциально раскрывает конфиденциальную информацию. В описании SonicWall не уточняется перечень файлов или данных, которые могут быть доступны через эту ошибку.

CVE-2026-109594 требует аутентификации. При определённых условиях она позволяет получить доступ к сведениям, хранящимся в базе данных GMS, либо изменить их. Таким образом, две проблемы различаются как требованиями к атакующему, так и возможными последствиями: первая связана с чтением файлов, вторая — с данными базы.

Контекст недавних атак на SonicWall

Предупреждение вышло менее чем через месяц после исправления CVE-2026-102255 — критической SSRF-уязвимости с оценкой CVSS 10,0. Она позволяла до аутентификации обращаться к внутренней функциональности сервера и выполнять несанкционированные операции.

Эксплуатация CVE-2026-102255 уже фиксировалась в реальных атаках. Телеметрия Previdian зарегистрировала 2 541 попытку с восьми уникальных IP-адресов из Сингапура и США с 9 октября 2026 года; 3 ноября было отмечено до 30 попыток. Контекст атак на продукты SonicWall дополняет атаки затронули SonicWall, SaaS и DNS и показывает, почему инвентаризацию управляющих систем не стоит откладывать.

Что проверить организациям

Для GMS 9.5.2 и более ранних версий обновление не является вариантом снижения риска: SonicWall его не выпустит. Практический приоритет — установить, используется ли система в инфраструктуре, проверить доступность её интерфейсов из сети и оценить план перехода на NSM.

Бизнесу следует учитывать, что сохранение GMS означает работу с известными уязвимостями без будущего патча. Ограничение сетевого доступа и планируемая миграция на поддерживаемый продукт остаются прямыми действиями, которые соответствуют рекомендации SonicWall.