SonicWall SMA 1000: exploit in corso per CVE-2026-102255, SSRF con CVSS 10

• Sfruttata attivamente CVE-2026-102255, SSRF con CVSS 10 nell'interfaccia WorkPlace di SonicWall SMA 1000
• Attacco remoto senza autenticazione; segnalazioni di exploit da Previdian e Defused dall'8-9 ottobre
• Non colpiti i firewall SonicWall con SSL-VPN e la linea SMA 100
• Applicare subito l'hotfix rilasciato da SonicWall

Sono in corso tentativi di sfruttamento di CVE-2026-102255, una vulnerabilità di tipo server-side request forgery (SSRF) negli appliance SonicWall Secure Mobile Access (SMA) 1000. SonicWall le ha assegnato il punteggio CVSS massimo, 10 su 10. La falla riguarda WorkPlace, il portale web usato dagli utenti remoti.

La vulnerabilità

Secondo l’avviso del vendor, pubblicato il 6 ottobre, il problema deriva da un «percorso di accesso alternativo non previsto». Un attaccante remoto e non autenticato potrebbe sfruttarlo per far emettere all’appliance richieste per proprio conto. In questo modo potrebbe raggiungere funzioni interne ed eseguire operazioni non autorizzate.

I dettagli tecnici non sono stati pubblicati. Il punteggio, però, fa pensare a uno sfruttamento semplice. I ricercatori di SOCRadar spiegano che un exploit riuscito consente di prendere il controllo dell’interfaccia WorkPlace. Il gateway esposto su Internet può così fare da proxy verso servizi normalmente non raggiungibili dall’esterno.

Gli SMA 1000 offrono SSL VPN, accesso remoto senza client e zero-trust network access. Si trovano tra Internet e applicazioni aziendali, servizi di identità e rete interna, e per questo sono un bersaglio appetibile.

Le prime evidenze di attacco

• Il 9 ottobre la società di threat intelligence Previdian ha segnalato su X tentativi di exploit contro i propri sensori.
• Defused ha riferito su X di aver visto traffico SSRF non autenticato sui propri sistemi esca SonicWall SMA a partire dal giorno prima.

La settimana scorsa SonicWall aveva dichiarato che non risultavano «prove attuali» di sfruttamento in the wild di questa falla né delle altre tre CVE incluse nello stesso avviso. Dark Reading ha chiesto un commento all’azienda sulle segnalazioni dei due vendor, ma al momento della pubblicazione non aveva ricevuto risposta.

Un contesto già difficile

Quella di quest’anno non è la prima campagna contro SonicWall. A luglio, secondo la fonte, il gruppo ransomware Inc ha condotto attacchi zero-day contro appliance SMA 1000 Series sfruttando CVE-2026-15409 e CVE-2026-15410.

Joe Toomey, vicepresidente underwriting security dell’assicuratore cyber Coalition, osserva che i dispositivi di bordo (edge) generano molti sinistri. Le SSL VPN, a suo dire, sono «quasi uniformemente pessime». Secondo Toomey, il premio proposto da Coalition dipende dai sistemi esposti all’esterno e dalla storia dei sinistri legati al vendor usato. Raccomanda soluzioni zero-trust al posto delle SSL VPN legacy.

Cosa fare

• SonicWall ha rilasciato un hotfix e invita ad applicarlo il prima possibile.
• Secondo il vendor, le SSL VPN sui firewall SonicWall e la linea SMA 100 Series non sono interessate da CVE-2026-102255 né dalle altre tre CVE dell’avviso.

Fonte: Dark Reading · Foto: Dark Reading