SonicWallは、脅威アクターがSMA1000の新たな2件のゼロデイ脆弱性を連鎖させ、リモートコード実行攻撃を行っていると顧客に警告しました。
1つ目は、SMA1000アプライアンスのWorkPlaceインターフェースに存在する最高深刻度のコマンドインジェクションの欠陥（CVE-2026-83548）で、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性に起因するものです。
この実際に悪用されているゼロデイの連鎖攻撃は、SMA1000アプライアンス管理コンソールに存在するコマンドインジェクションの脆弱性（CVE-2026-83549）も標的としています。この脆弱性は、管理者権限を持つ攻撃者が悪用すると、脆弱なデバイス上で任意のOSコマンドを実行できるというものです。
「SonicWall PSIRTは、本アドバイザリに記載された脆弱性が実際に悪用されている事例を調査しました。お客様には、この脆弱性を修正するため、できるだけ早くホットフィックスリリースへアップグレードすることを強く推奨します」と、同社は火曜日のアドバイザリで警告しました。
この2件のセキュリティ脆弱性は、SMA1000の6210、7210、8200vの各モデルに影響しますが、SonicWallファイアウォール上で稼働するSSL-VPNやSMA 100シリーズ製品ラインには影響しません。
インターネットセキュリティの監視団体Shadowserverは現在、400台を超えるSMA1000アプライアンスがオンライン上に露出していると追跡していますが、これらの一部はすでにこの攻撃連鎖に対するパッチが適用されている可能性があります。
SonicWallは、すべての顧客に対し、仮想または物理のSMA1000アプライアンスを最新のホットフィックスバージョンへアップグレードするよう促しました。
同社はまた、侵害の痕跡（IOC）が検出された場合には、アプライアンスの再イメージ化、すべてのユーザーおよび管理者パスワードの変更、TOTPトークンのリセットを行うよう管理者に助言していますが、これらの進行中の攻撃の詳細や、調査で発見したIOCの一覧については、まだ公表していません。
SMA1000は大企業や政府機関、重要インフラ組織が利用するセキュアリモートアクセスアプライアンスであることから、こうした脆弱性は攻撃の標的となることが多い状況です。
7月には、他の2件のSonicWall SMA1000の脆弱性（CVE-2026-15409およびCVE-2026-15410）が数週間にわたりゼロデイ攻撃で悪用され、脆弱なVPNアプライアンスにカスタムマルウェアがインストールされていました。先月には、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が、ランサムウェアグループがこの2件の脆弱性の悪用を開始したことを確認しています。
同社はまた12月にも、ハッカーがroot権限を取得するために連鎖させていた別のSMA1000ゼロデイ脆弱性（CVE-2025-40602）について、パッチを適用するよう顧客に警告していました。
その1か月前には、SonicWallは、盗まれた認証情報を使って100件を超えるSonicWall SSLVPNアカウントが侵害されたと研究者らが警告したのを受け、顧客のファイアウォール設定バックアップファイルが流出した9月のセキュリティ侵害について、国家の支援を受けたハッカーとの関連を指摘していました。
