SonicWall zakrpio dva aktivno zloupotrebljena propusta u SMA 1000
SonicWall je objavio bezbednosne ispravke za dva propusta nultog dana u VPN uređajima Secure Mobile Access (SMA) 1000: CVE-2026-83548, ocenjen sa CVSS 10,0, i CVE-2026-83549, ocenjen sa 7,8. Kompanija je istražila slučaj koji ukazuje na aktivno iskorišćavanje ranjivosti, uz mogućnost da napadači oba propusta povezuju u lanac za izvršavanje proizvoljnog koda na ranjivim uređajima.
Dva propusta sa različitim uslovima napada
CVE-2026-83548 je SSRF ranjivost pre autentifikacije u interfejsu Appliance Work Place. Udaljeni napadač bez prijave mogao bi da dobije neovlašćen pristup osetljivim funkcijama i izvodi neovlašćene radnje.
CVE-2026-83549 se nalazi u Appliance Management Console (AMC) i predstavlja ubrizgavanje komandi operativnog sistema nakon autentifikacije. Pod određenim uslovima, autentifikovani napadač sa administratorskim pravima mogao bi da izvršava proizvoljne komande, što vodi do udaljenog izvršavanja koda.
Upravo kombinacija pristupa bez autentifikacije i mogućnosti izvršavanja komandi nakon prijave čini istragu o mogućem lancu napada posebno važnom. SonicWall nije objavio tehničke detalje zloupotrebe niti podatke o akterima koji stoje iza aktivnosti.
Koje verzije treba proveriti
Ranjivosti pogađaju SMA 1000 modele 6210, 7210 i 8200v. Obuhvaćene su verzije 12.4.3-03453 (platform-hotfix) i starije, kao i 12.5.0-02835 (platform-hotfix) i starije.
Ispravke su dostupne u verzijama 12.4.3-03526 (platform-hotfix) i 12.5.0-02952 (platform-hotfix). Organizacije treba da utvrde tačan model i instaliranu verziju, a potom da primene odgovarajući najnoviji hotfix.
Ovaj slučaj dolazi nakon drugih propusta u istoj liniji proizvoda, jer napadi pogađali SonicWall uz SaaS i DNS okruženja beleži da su napadi pogađali SonicWall uz SaaS i DNS okruženja. Prethodni propusti CVE-2026-15409 i CVE-2026-15410 bili su iskorišćeni za isporuku malvera KNUCKLEBALL, za šta je označen akter UTA0533.
Koraci nakon primene zakrpe
SonicWall preporučuje nadogradnju na najnoviji hotfix i pregled sistema radi pronalaženja indikatora kompromitacije. Ako se indikatori pronađu, preporuka je ponovno postavljanje ili ponovna instalacija uređaja, promena svih korisničkih i administratorskih lozinki i resetovanje vremenski zasnovanih jednokratnih lozinki (TOTP).
Za poslovanje je praktičan zaključak da SMA 1000 uređaje treba odmah uključiti u prioritetnu proveru izloženosti, ažurirati ih na odgovarajući hotfix i sprovesti postupak odgovora na incident ako pregled pokaže tragove kompromitacije.