SonicWall SMA1000 sotto attacco: due zero-day consentono SSRF e comandi sul sistema

Sfruttamento già osservato sugli appliance di accesso remoto

Due vulnerabilità zero-day colpiscono la famiglia SonicWall SMA1000, utilizzata come gateway per l’accesso remoto sicuro e come appliance SSL-VPN. SonicWall afferma di avere individuato internamente sia le falle sia il loro sfruttamento in attacchi reali.

I problemi segnalati sono CVE-2026-83548, una vulnerabilità SSRF sfruttabile prima dell’autenticazione, e CVE-2026-83549, un’iniezione di comandi nel sistema operativo. La presenza simultanea delle due falle negli ambienti compromessi suggerisce un possibile impiego concatenato, ma questa ipotesi non è stata confermata.

Non sono stati divulgati dettagli sulle organizzazioni colpite, sull’identità degli attaccanti o sulle procedure operative utilizzate durante le intrusioni. Mancano anche indicatori di compromissione quali indirizzi IP, domini, hash o percorsi specifici lasciati dagli aggressori.

Per gli amministratori, quindi, non si tratta di valutare una possibilità teorica. Lo sfruttamento è già stato osservato e richiede sia l’installazione delle correzioni sia controlli retrospettivi sugli apparati esposti.

Dalla SSRF pre-autenticazione all’esecuzione di comandi

CVE-2026-83548 interessa l’interfaccia Appliance Work Place. È una Server-Side Request Forgery, o SSRF, accessibile da remoto senza credenziali e associata a un punteggio CVSS 10.

La vulnerabilità deriva da un percorso alternativo di accesso non previsto. Un aggressore può indurre l’appliance a effettuare richieste verso destinazioni o funzionalità che normalmente non sarebbero raggiungibili dall’esterno. Questo comportamento può fornire accesso non autorizzato a componenti sensibili e permettere operazioni non consentite.

Una SSRF su un gateway per l’accesso remoto è particolarmente critica perché l’apparato si trova spesso tra Internet e risorse interne. Non sono però stati pubblicati i dettagli necessari per stabilire quali servizi possano essere raggiunti attraverso questa specifica falla.

CVE-2026-83549 si trova invece nell’Appliance Management Console (AMC). Richiede un account autenticato, ma consente di inserire comandi arbitrari destinati al sistema operativo, con possibile esecuzione di codice. Il punteggio indicato è CVSS 7.8, con vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

In uno scenario concatenato, la SSRF potrebbe teoricamente essere usata per raggiungere una funzione protetta, mentre l’iniezione permetterebbe di impartire comandi al sistema. Non è noto, tuttavia, se gli attacchi osservati abbiano seguito questa sequenza né come gli aggressori abbiano soddisfatto il requisito di autenticazione della seconda falla.

Modelli vulnerabili e hotfix da installare

Le vulnerabilità riguardano tre appliance della famiglia SMA1000:

• SMA 6210;
• SMA 7210;
• SMA 8200v.

Le correzioni sono disponibili negli hotfix:

• 12.4.3-03526;
• 12.5.0-02952;
• tutte le versioni successive che includono gli stessi fix.

Non sono state rese note le build precedenti esatte interessate. In assenza di questa informazione, le organizzazioni dovrebbero verificare direttamente che ogni appliance utilizzi almeno uno degli hotfix indicati, senza limitarsi a controllare il ramo principale della versione.

L’allarme non deve essere esteso automaticamente all’intero portafoglio SonicWall. Il servizio SSL-VPN integrato nei firewall SonicWall e gli appliance della serie SMA100 non risultano coinvolti in queste due zero-day.

Non sono disponibili workaround alternativi alla patch. Gli apparati esposti direttamente a Internet devono avere la priorità, ma anche le installazioni raggiungibili attraverso reti intermedie o interfacce amministrative dedicate meritano una verifica.

Due coppie di CVE descrivono problemi simili, ma la relazione non è chiarita

L’attribuzione degli identificativi presenta una divergenza rilevante. Le vulnerabilità appena segnalate sono indicate come CVE-2026-83548 e CVE-2026-83549. Nel catalogo Known Exploited Vulnerabilities della CISA compaiono però due problemi SMA1000 con descrizioni tecniche corrispondenti, registrati come:

• CVE-2026-15409, SSRF remota senza autenticazione, classificata CWE-918;
• CVE-2026-15410, code injection che consente a un amministratore autenticato di eseguire comandi arbitrari, classificata CWE-94.

La relazione tra le due coppie non è stata spiegata pubblicamente. Non è quindi corretto considerare automaticamente CVE-2026-83548 equivalente a CVE-2026-15409, né associare senza riserve CVE-2026-83549 a CVE-2026-15410.

Esistono anche differenze nei dati tecnici. CVE-2026-15409 ha punteggio CVSS 10 e vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. CVE-2026-15410 ha invece punteggio CVSS 7.2 e vettore CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, quindi descrive un attacco remoto che richiede privilegi elevati.

Per CVE-2026-83548 e CVE-2026-83549, le schede NVD disponibili non riportano ancora vettori completi, classi CWE o versioni di prodotto. Il valore CVSS 10 attribuito alla prima e il CVSS 7.8 della seconda non derivano dunque da schede NVD complete.

Questa incongruenza impone cautela nei sistemi di vulnerability management: cercare soltanto una coppia di identificativi potrebbe produrre inventari o segnalazioni incomplete.

Il catalogo KEV impone patch e analisi forense

Le voci CVE-2026-15409 e CVE-2026-15410 sono nel catalogo CISA KEV dal 14 luglio 2026, con scadenza di remediation per le agenzie federali statunitensi fissata al 17 luglio 2026.

Entrambe risultano usate in campagne ransomware. La CISA richiede inoltre il forensic triage previsto dalla BOD-26-04, oltre all’applicazione delle mitigazioni fornite dal produttore. Se le correzioni non fossero disponibili, l’indicazione è valutare la dismissione del prodotto secondo le disposizioni applicabili.

Al contrario, CVE-2026-83548 e CVE-2026-83549 non risultano elencate con questi identificativi nel KEV. La differenza non riduce l’urgenza: descrizioni tecniche strettamente affini sono già associate dalla CISA a sfruttamento noto e ransomware.

Gli amministratori dovrebbero quindi:

1. installare immediatamente 12.4.3-03526, 12.5.0-02952 o una release successiva;
2. censire gli SMA 6210, 7210 e 8200v raggiungibili da Internet;
3. controllare richieste anomale verso Appliance Work Place, possibili comportamenti SSRF e operazioni non autorizzate;
4. esaminare l’AMC alla ricerca di comandi inattesi o attività amministrative non riconosciute;
5. sottoporre a triage forense gli appliance potenzialmente esposti, senza presumere che la patch elimini le conseguenze di una compromissione precedente;
6. cercare nei propri strumenti entrambi i gruppi di identificativi CVE.

Non essendo disponibili indicatori pubblici, la verifica dovrà basarsi sui log conservati dall’organizzazione, sulle variazioni di configurazione, sugli accessi amministrativi e sui comportamenti di rete anomali.

Un altro episodio nella serie di falle SonicWall sfruttate

Il catalogo CISA contiene 17 risultati applicando il filtro SonicWall. Tra i precedenti figura CVE-2025-40602, una vulnerabilità SMA1000 di autorizzazione mancante che può permettere l’escalation dei privilegi nell’AMC. È nel KEV dal 17 dicembre 2025, con scadenza al 24 dicembre 2025.

La serie SMA100 è stata interessata anche dalle iniezioni di comandi CVE-2023-44221 e CVE-2021-20035, inserite nel KEV rispettivamente il 1° maggio 2025 e il 16 aprile 2025. Per SonicOS, il bypass dell’autenticazione SSL-VPN CVE-2024-53704 risulta sfruttato in campagne ransomware ed è nel catalogo dal 18 febbraio 2025.

Il punto operativo resta netto: correggere l’appliance non basta se lo sfruttamento può essere già avvenuto. Per gli SMA1000 coinvolti servono patch, verifica dell’esposizione e analisi forense coordinata.