Критическую уязвимость SonicWall SMA 1000 начали эксплуатировать через два дня после патча

Критическую уязвимость в шлюзах удалённого доступа SonicWall Secure Mobile Access (SMA) 1000 злоумышленники начали эксплуатировать буквально через считанные дни после её публичного раскрытия.

Проблема, получившая идентификатор CVE-2026-102255 и максимальный балл CVSS 10.0, представляет собой доаутентификационную подделку запросов на стороне сервера (SSRF). Она позволяет удалённому атакующему заставить устройство отправлять запросы от его имени, добираться до внутренней функциональности и выполнять несанкционированные операции.

SonicWall выпустила исправления 6 октября 2026 года — в версиях 12.4.3-03670 и 12.5.0-03082 (оба в виде platform-hotfix).

Атаки начались почти сразу

Первые признаки эксплуатации зафиксировали 8 октября специалисты по киберразведке Defused Cyber и Previdian. По данным Previdian, к настоящему моменту наблюдалось в общей сложности 135 попыток, исходивших с двух уникальных IP-адресов, расположенных в США. SonicWall пока не обновила бюллетень, чтобы отразить факт активной эксплуатации.

CVE-2026-102255 — не первая уязвимость линейки SMA 1000, попавшая под прицел. В июне 2026 года две другие бреши в том же продукте (CVE-2026-15409 с баллом 10.0 и CVE-2026-15410 с баллом 7.2) использовались как уязвимости нулевого дня группировкой, получившей обозначение UTA0533: злоумышленники разворачивали Java-веб-шеллы и вредоносную программу KNUCKLEBALL.

От шлюза — в корпоративную сеть

Компания Rapid7 сообщала, что атакующие использовали эти бреши для скрытного первичного проникновения через устройства, доступные из интернета: получив доступ, они выполняли команды на уровне операционной системы и закреплялись надолго.

По наблюдениям Rapid7, закрепившись на устройстве, злоумышленники методично извлекали ценные учётные данные, базы активных сессий и конфигурации сидов для одноразовых паролей по времени (TOTP), применяемых в многофакторной аутентификации. Располагая этими ресурсами, они быстро переходили к горизонтальному перемещению, проникая со скомпрометированного шлюза прямо во внутреннюю корпоративную сеть.

Организациям, использующим SMA 1000, стоит без промедления установить выпущенные обновления.

Источник: The Hacker News