Уязвимость SonicWall SMA 1000 атакуют через два дня после патча
Критическая уязвимость CVE-2026-102255 в устройствах SonicWall Secure Mobile Access (SMA) 1000 начала привлекать попытки эксплуатации вскоре после публикации исправлений. SonicWall выпустила патчи 6 октября 2026 года, а Defused Cyber и Previdian зафиксировали первые признаки атак 8 октября. Previdian насчитала 135 попыток с двух уникальных IP-адресов из США.
Проблема получила максимальную оценку CVSS 10,0. Она относится к server-side request forgery (SSRF), не требует предварительной аутентификации и позволяет удалённому атакующему заставить устройство отправлять запросы от своего имени. Это открывает доступ к внутренней функциональности и создаёт возможность выполнять несанкционированные операции.
Какие версии нужно установить
Для устранения CVE-2026-102255 SonicWall выпустила platform-hotfix для ветки 12.4.3 — версию 12.4.3-03670, а также исправление 12.5.0-03082 для ветки 12.5.0. На момент наблюдений Previdian SonicWall ещё не дополнила собственное уведомление сведениями об активной эксплуатации.
Скорость появления попыток особенно важна для организаций, чьи SMA 1000 доступны из интернета. Уязвимость позволяет начать взаимодействие с внутренними функциями без прохождения аутентификации, поэтому откладывать установку hotfix не стоит.
Предыдущие атаки на SMA 1000
Это не первый случай активной эксплуатации проблем в SMA 1000. В июне 2026 года злоумышленник, отслеживаемый как UTA0533, применял уязвимости CVE-2026-15409 с CVSS 10,0 и CVE-2026-15410 с CVSS 7,2 как уязвимости нулевого дня. Целью были установка Java web shell и развёртывание вредоносной программы KNUCKLEBALL.
Rapid7 также наблюдала использование этих недостатков против устройств, доступных из интернета. После закрепления на устройстве атакующие извлекали ценные учётные данные, базы активных сессий и конфигурации seed-значений TOTP для многофакторной аутентификации, а затем перемещались во внутреннюю корпоративную сеть.
Контекст таких инцидентов дополняет атаки на SonicWall среди событий недели, где атаки на SonicWall упомянуты среди заметных событий недели. В данном случае практический шаг для компаний — без промедления установить соответствующий hotfix на SMA 1000, проверить доступные извне устройства и изучить журналы на обращения, относящиеся к попыткам эксплуатации CVE-2026-102255.