SonicWall SMA 1000, CVE-2026-102255 (CVSS 10.0) già sfruttata dopo la patch
Dopo il rilascio delle patch del 6 ottobre 2026, sono stati osservati 135 tentativi di sfruttamento della falla SSRF pre-auth CVE-2026-102255 nelle appliance SonicWall SMA 1000.
- CVE-2026-102255 (CVSS 10.0) in SonicWall SMA 1000 è già sfruttata: 135 tentativi da due IP statunitensi
- Falla SSRF pre-auth; patch del 6 ottobre 2026 nelle versioni 12.4.3-03670 e 12.5.0-03082
- Aggiornare subito le appliance; l'avviso SonicWall non segnala ancora lo sfruttamento
Alcuni attori malevoli stanno sfruttando CVE-2026-102255, una vulnerabilità critica nelle appliance SonicWall Secure Mobile Access (SMA) 1000, a pochi giorni dalla divulgazione pubblica. Il punteggio CVSS è 10.0.
La vulnerabilità
Si tratta di una server-side request forgery (SSRF) che non richiede autenticazione. Un attaccante remoto può indurre l’appliance a inviare richieste per suo conto, raggiungere funzioni interne e compiere operazioni non autorizzate.
SonicWall ha rilasciato le patch il 6 ottobre 2026. Le versioni corrette sono 12.4.3-03670 (platform-hotfix) e 12.5.0-03082 (platform-hotfix).
I tentativi di sfruttamento
I primi segnali di attività sono stati rilevati l’8 ottobre 2026 dalle società di threat intelligence Defused Cyber e Previdian. Secondo i dati di Previdian, finora sono stati registrati 135 tentativi, provenienti da due indirizzi IP statunitensi. Al momento SonicWall non ha ancora aggiornato il proprio avviso per segnalare lo sfruttamento attivo.
Un prodotto già nel mirino
Non è la prima volta quest’anno. A giugno 2026 altre due falle nello stesso prodotto, CVE-2026-15409 (CVSS 10.0) e CVE-2026-15410 (CVSS 7.2), sono state usate come zero-day da un attore denominato UTA0533. L’obiettivo era installare web shell Java e il malware KNUCKLEBALL.
Rapid7 ha osservato l’uso di quelle falle contro dispositivi esposti a Internet, impiegati come accesso iniziale discreto per eseguire comandi sul sistema operativo e mantenere una presenza persistente. Secondo la società, una volta ottenuto il controllo dell’appliance gli attaccanti hanno estratto in modo sistematico credenziali di valore, database delle sessioni attive e configurazioni dei seed TOTP (le chiavi per i codici monouso dell’autenticazione a più fattori). Con queste risorse sono passati rapidamente al movimento laterale, dall’appliance compromessa alla rete aziendale interna.
Cosa fare
- Aggiornare le appliance SMA 1000 alle versioni
12.4.3-03670o12.5.0-03082. - Considerare il precedente di giugno: nei dispositivi esposti, valutare il rischio di credenziali e seed TOTP compromessi.
- Seguire gli aggiornamenti dell’avviso SonicWall.
Fonte: The Hacker News · Foto: The Hacker News
