SonicWall SMA1000: SSRF fără autentificare CVE-2026-102255

SonicWall a publicat corecțiile pentru patru vulnerabilități ale echipamentelor SMA1000, gateway-urile de acces la distanță SSL VPN din seria Secure Mobile Access 1000. Cea mai gravă, CVE-2026-102255, are scorul CVSS maxim, 10.0: este o vulnerabilitate de tip SSRF (server-side request forgery) exploatabilă fără autentificare prin interfața Work Place, portalul la care se conectează utilizatorii.

Potrivit SonicWall, deocamdată nu există dovezi de exploatare. Nu există însă nici o soluție de ocolire: singura apărare este instalarea actualizării.

Ce s-a întâmplat

În interfața Work Place există o cale de acces alternativă neprevăzută. Abuzând de ea, un atacator de la distanță, fără credențiale, poate face echipamentul să trimită cereri în numele lui: astfel ajunge la funcții interne ale SMA1000 și efectuează operațiuni neautorizate. Nu este nevoie de nicio interacțiune din partea unui utilizator.

Scorul 10.0 reflectă exact acest lucru: atac prin rețea, complexitate redusă, niciun privilegiu necesar și, după cum observă un analist citat de CSO Online, efecte care depășesc componenta vulnerabilă (schimbarea de scope din metrica CVSS). Un gateway VPN are prin natura lui voie să comunice cu rețeaua internă, iar un SSRF pe un astfel de echipament profită tocmai de această încredere.

Împreună cu CVE-2026-102255, SonicWall a corectat alte trei vulnerabilități, toate exploatabile doar de un utilizator autentificat.

Detalii tehnice

• CVE-2026-102255, CVSS 10.0: SSRF înainte de autentificare în interfața Work Place, cauzat de o cale de acces alternativă neprevăzută.
• CVE-2026-102256, CVSS 7.8: injecție de comenzi ale sistemului de operare. Security Affairs o descrie ca exploatabilă de un administrator autentificat; CSO Online vorbește despre un atacator de la distanță autentificat care poate obține privilegii de administrator și poate executa comenzi arbitrare.
• CVE-2026-102257, CVSS 7.2: vulnerabilitate de tip Zip Slip (path traversal la extragerea unei arhive) în Appliance Management Console; permite scrierea de fișiere în afara directorului prevăzut și poate duce la execuție de cod de la distanță.
• CVE-2026-102258, CVSS 5.5: cross-site scripting stocat în consola de administrare, exploatabil de un utilizator autentificat.
• Modele afectate: SMA1000 6210, 7210 și 8200v.
• Versiuni afectate: 12.4.3-03526 (platform-hotfix) și anterioare; 12.5.0-02952 (platform-hotfix) și anterioare.
• Versiuni corectate: 12.4.3-03670 și 12.5.0-03082 sau ulterioare, disponibile în portalul MySonicWall.
• Neafectate: SSL VPN de pe firewall-urile SonicWall și seria SMA 100.
• Exploatare: nicio dovadă până acum, potrivit SonicWall.
• MITRE ATT&CK: o eventuală exploatare a CVE-2026-102255 s-ar încadra în T1190 (Exploit Public-Facing Application).

Contextul: încă o vulnerabilitate critică în câteva luni

Nu este prima vulnerabilitate gravă a SMA1000 din acest an. În septembrie SonicWall a corectat CVE-2026-83548 (CVSS 10.0) și CVE-2026-83549 (CVSS 7.8), după ce a confirmat exploatarea lor activă; potrivit Security Affairs, atacatorii le înlănțuiau probabil pentru a ajunge la execuție de cod arbitrar. CSO Online amintește și de CVE-2026-15409, tot cu CVSS 10, exploatată ca zero-day în iulie.

Mai există un detaliu practic, subliniat de analistul citat de CSO Online: versiunile indicate ca vulnerabile, 12.4.3-03526 și 12.5.0-02952, sunt chiar cele care corectau vulnerabilitățile din septembrie. Dacă ai actualizat luna trecută, trebuie să actualizezi din nou.

Impactul pentru companiile europene și italiene

Echipamentele SMA1000 sunt folosite de companii mijlocii și mari, de furnizori de servicii de securitate gestionate și de instituții publice pentru a oferi acces la distanță în rețeaua internă. Stau pe perimetru și trebuie să ajungă la sistemele interne: tocmai asta le face o țintă atractivă. Potrivit CSO Online, în ultimii patru ani CISA a adăugat 19 vulnerabilități SonicWall în catalogul său de vulnerabilități exploatate, dintre care 13 au fost folosite în atacuri ransomware.

Pentru entitățile care intră sub incidența NIS2, gestionarea rapidă a vulnerabilităților sistemelor expuse face parte din măsurile de securitate cerute; dacă apar semne de compromitere, incidentul trebuie evaluat pentru notificarea către CSIRT-ul național (în România, DNSC; în Italia, CSIRT Italia din cadrul ACN). În sănătate, accesul la distanță al personalului și al furnizorilor trece adesea prin gateway-uri de acest tip, iar un echipament compromis îl apropie pe atacator de sistemele care prelucrează date clinice.

Ce să faci acum

1. Inventar: identifică toate echipamentele SMA1000, fizice și virtuale, și verifică versiunea completă instalată pe fiecare, nu doar ramura.
2. Actualizează: adu ramura 12.4.3 la 12.4.3-03670 și ramura 12.5.0 la 12.5.0-03082, sau la versiuni ulterioare. Nu există alternative la actualizare.
3. Redu expunerea: unde este posibil, nu lăsa consola de administrare și interfața Work Place accesibile din tot internetul, așa cum recomandă analistul citat de CSO Online.
4. Verifică jurnalele: caută cereri anormale către interfața Work Place și conexiuni de la SMA1000 către sisteme interne pe care în mod normal nu le contactează.
5. Dacă echipamentul a rămas expus și neactualizat în iulie sau septembrie: consideră actualizarea începutul unei investigații, nu sfârșitul ei. După incidentele anterioare, SonicWall a recomandat reinstalarea echipamentului, schimbarea parolelor și resetarea codurilor TOTP pentru autentificarea în doi pași; potrivit CSO Online, aceste indicații rămân valabile.

Cum ajută ARXDOME

ARX Expose îți arată ce servicii expune compania ta pe internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă un portal de acces la distanță sau o consolă de administrare sunt accesibile din exterior. ARX Sentry adună într-un punct central jurnalele firewall-urilor, serverelor și calculatoarelor, astfel încât conexiunile anormale către și dinspre gateway rămân sub ochii analiștilor. Cu ARX Horizon consulți din portal detaliile vulnerabilităților.

Ultima actualizare: 8 octombrie 2026