SonicWall закрыла критическую уязвимость в шлюзах Secure Mobile Access (SMA) 1000, но уже через два дня после публикации сведения о ней начались попытки эксплуатации. Первые признаки активности заметили компании Defused Cyber и Previdian — 8 октября 2026 года. По данным Previdian, к настоящему моменту зафиксировано 135 попыток, и все они шли с двух IP-адресов, расположенных в США. SonicWall пока не обновила свой бюллетень, чтобы отметить факт реальных атак.
Что за уязвимость и как её закрыть
Проблема получила идентификатор CVE-2026-102255 и максимальную оценку CVSS 10.0. Это server-side request forgery (SSRF), срабатывающая до аутентификации: удалённый атакующий может заставить устройство выполнять запросы от его имени, дотягиваться до внутренних функций и проводить несанкционированные операции.
Патчи вышли 6 октября 2026 года в виде двух платформенных хотфиксов:
12.4.3-03670(platform-hotfix);12.5.0-03082(platform-hotfix).
Если шлюз SMA 1000 доступен из интернета, обновление до одной из этих сборок — первый шаг. Проверить версию можно в интерфейсе управления устройством; после установки хотфикса стоит убедиться, что он действительно применился.
Это не первая атака на SMA 1000
CVE-2026-102255 — не первый случай, когда уязвимость в SMA 1000 начинают использовать в атаках. В июне 2026 года две другие дыры в том же продукте — CVE-2026-15409 (CVSS 10.0) и CVE-2026-15410 (CVSS 7.2) — применялись как zero-day группировкой, которую называют UTA0533. Тогда злоумышленники разворачивали Java-веб-шеллы и вредоносное ПО KNUCKLEBALL.
Компания Rapid7 также сообщала, что наблюдала использование этих уязвимостей против устройств, доступных из интернета. Шлюзы применялись как скрытый первичный вектор доступа: атакующие выполняли команды в операционной системе и закреплялись в инфраструктуре надолго. По данным Rapid7, после закрепления на устройстве они систематически извлекали ценные учётные данные, базы активных сессий и конфигурации TOTP-семян для многофакторной аутентификации. С этими ресурсами злоумышленники переходили к боковому перемещению — с compromised-шлюза напрямую во внутреннюю корпоративную сеть.
Почему SSRF до аутентификации так опасен
SSRF до входа в систему означает, что для попытки эксплуатации не нужны учётные данные. Достаточно, чтобы устройство было доступно по сети. Для SMA 1000, который обычно стоит на периметре и обеспечивает удалённый доступ сотрудников, это создаёт прямой путь внутрь: сначала запросы от имени шлюза, затем — доступ к внутренним сервисам, которые снаружи не видны.
Именно сочетание «критическая оценка + отсутствие аутентификации + пограничное устройство» делает такие уязвимости приоритетными для закрытия. В случае с предыдущими дырами SMA 1000 цепочка развивалась по тому же сценарию: доступ к устройству, кража сессий и MFA-конфигураций, боковое перемещение.
Что делать администратору
Порядок действий для тех, у кого в инфраструктуре есть SMA 1000:
- Проверить текущую версию платформы и при необходимости установить хотфикс
12.4.3-03670или12.5.0-03082. - Ограничить доступ к интерфейсу управления шлюзом из интернета, если это возможно по схеме работы.
- Просмотреть журналы на предмет запросов, инициированных самим устройством, — это характерный признак эксплуатации SSRF.
- Сменить учётные данные и проверить активные сессии, если есть подозрение на компрометацию: в прошлых инцидентах злоумышленники крали базы сессий и TOTP-семена.
- Проверить, не появились ли в сети новые учётные записи или признаки бокового перемещения с адреса шлюза.
Отдельно стоит держать в уме, что уязвимость уже фигурирует в попытках эксплуатации, а вендор пока не подтвердил их в своём бюллетене. Это не повод ждать: патч доступен, и его установка закрывает вектор.
Частые вопросы
Кого касается эта уязвимость?
Всех, у кого развёрнуты шлюзы SonicWall Secure Mobile Access (SMA) 1000, особенно если они доступны из интернета. Уязвимость затрагивает именно эту линейку.
Что именно позволяет сделать CVE-2026-102255?
Это pre-auth SSRF: удалённый атакующий может заставить устройство выполнять запросы от его имени, обращаться к внутренним функциям и совершать несанкционированные операции — без предварительной аутентификации.
Насколько опасна уязвимость по шкале CVSS?
Оценка — 10.0, максимальная. Проблема не требует учётных данных и затрагивает пограничное устройство.
Какие версии закрывают дыру?
SonicWall выпустила платформенные хотфиксы 12.4.3-03670 и 12.5.0-03082 от 6 октября 2026 года. Нужно обновиться до одной из этих сборок.
Уже есть реальные атаки?
Да. Первые признаки эксплуатации заметили 8 октября 2026 года компании Defused Cyber и Previdian. Previdian насчитала 135 попыток с двух IP-адресов в США.
Подтвердила ли SonicWall факт эксплуатации?
Нет. По состоянию на момент публикации вендор не обновил свой бюллетень, чтобы отразить активные атаки.
Связана ли эта уязвимость с июньскими атаками на SMA 1000?
Это отдельная дыра, но того же класса угроз. В июне 2026 года эксплуатировались CVE-2026-15409 (CVSS 10.0) и CVE-2026-15410 (CVSS 7.2); их использовала группировка UTA0533 для развёртывания Java-веб-шеллов и вредоносного ПО KNUCKLEBALL.
Что крадут при успешной атаке на SMA 1000?
По наблюдениям Rapid7 в июньских инцидентах, после закрепления на устройстве атакующие извлекали учётные данные, базы активных сессий и конфигурации TOTP-семян для MFA, а затем переходили к боковому перемещению во внутреннюю сеть.
Как понять, что устройство пытались эксплуатировать?
Стоит смотреть журналы на исходящие запросы, инициированные самим шлюзом, и на обращения к внутренним сервисам, которых там быть не должно. Это типичный признак SSRF.
Можно ли просто подождать и не обновляться?
Нет: попытки эксплуатации уже идут, а вендор пока не подтвердил их в бюллетене. Патч доступен, и его установка закрывает вектор атаки.
Смежные темы по периметру и удалённому доступу: Palo Alto GlobalProtect: обход аутентификации CVE-2026-0257, NetScaler ADC и Gateway: две критические zero-day под атакой и более ранний разбор SonicWall SMA1000: SSRF с CVSS 10.0.
Источник: thehackernews.com