SonicWall SMA1000, sfruttata la CVE-2026-102255 (CVSS 10.0): subito le patch

• CVE-2026-102255 (CVSS 10.0): SSRF senza autenticazione negli appliance SonicWall SMA1000
• Tentativi di exploit dall'8 ottobre, due giorni dopo le patch; intrusioni riuscite non confermate
• Colpiti 6210, 7210, 8200v fino a 12.4.3-03526 e 12.5.0-02952
• Aggiornare a 12.4.3-03670 o 12.5.0-03082 o successive: nessun workaround

Una vulnerabilità critica negli appliance SonicWall SMA1000, identificata come CVE-2026-102255 (CVSS 10.0), è oggetto di tentativi di sfruttamento a pochi giorni dalla divulgazione. SonicWall ha pubblicato l’avviso il 6 ottobre 2026. Le prime attività sospette risalgono all’8 ottobre, due giorni dopo il rilascio delle correzioni.

Che cosa succede

La falla è di tipo server-side request forgery (SSRF) e si trova nell’interfaccia Work Place dell’SMA1000. Un percorso di accesso alternativo non previsto permette a un attaccante remoto di usare l’appliance come proxy. Invece di contattare direttamente i servizi protetti, l’attaccante fa inviare le richieste al dispositivo, che è considerato affidabile. In questo modo può raggiungere funzioni interne ed eseguire operazioni non autorizzate.

La gravità deriva dal fatto che non servono credenziali né interazione dell’utente. SonicWall la classifica come critica per l’impatto su riservatezza dei dati, integrità del sistema e disponibilità del servizio.

Le evidenze di sfruttamento

L’avviso iniziale di SonicWall indicava che non c’erano prove di exploit in the wild. Le osservazioni successive hanno cambiato il quadro:

• Defused Cyber ha segnalato traffico sospetto contro i propri decoy SMA, il primo l’8 ottobre;
• Previdian ha rilevato tentativi coerenti con la stessa vulnerabilità. Secondo The Hacker News, ne ha registrati 135 da due indirizzi IP situati negli Stati Uniti.

Questi numeri descrivono l’attività vista dai sensori, non le organizzazioni compromesse. Anche la geolocalizzazione degli IP non indica dove si trovino gli attaccanti. Le segnalazioni disponibili non confermano intrusioni riuscite nelle reti dei clienti.

Le altre tre vulnerabilità

Lo stesso aggiornamento corregge altri tre problemi, che richiedono accesso autenticato:

• CVE-2026-102256: command injection che può consentire l’esecuzione di codice dopo l’autenticazione;
• CVE-2026-102257: Zip Slip, che permette di scrivere file estratti fuori dalla directory prevista;
• CVE-2026-102258: JavaScript memorizzato eseguibile nella Appliance Management Console.

In passato attacchi zero-day contro SonicWall hanno combinato vulnerabilità SSRF e command injection per ottenere accessi root e installare malware personalizzato. La fonte ricorda anche gli attacchi di remote code execution su SMA1000 di settembre. Si tratta di contesto: non è provato che gli attuali tentativi siano riconducibili agli stessi autori o alle stesse tecniche.

Prodotti colpiti e cosa fare

Sono interessati i modelli SMA1000 6210, 7210 e 8200v con versione 12.4.3-03526 o precedente, oppure 12.5.0-02952 o precedente.

• Aggiornare a 12.4.3-03670 o successiva, oppure a 12.5.0-03082 o successiva, nel ramo software corretto.
• Non esistono workaround indicati da SonicWall: l’unica misura è l’hotfix.
• Verificare modello esatto e hotfix installato. L’avviso esclude la linea SMA 100 e i servizi SSL-VPN dei firewall SonicWall.

Con i tentativi già in corso, l’applicazione della patch va considerata urgente.

Fonte: Cyber Security News · Foto: Cyber Security News