SonicWallは、新たに公表された2件の脆弱性が積極的に悪用されていることを確認し、SMA1000顧客に対して直ちにパッチを適用するよう呼びかけています。このうちの1件は、認証前に悪用可能な深刻なサーバーサイドリクエストフォージェリ(SSRF)の欠陥です。
脆弱性はCVE-2026-83548およびCVE-2026-83549で、SMA1000の6210、7210、8200v各リモートアクセスアプライアンスに影響します。SonicWallは9月1日に修正済みのホットフィックスをリリースしており、影響を受けるシステムに侵害の兆候がないか調査するよう推奨しています。
CVE-2026-83548とCVE-2026-83549はRCEにつながる恐れ
SonicWallのセキュリティアドバイザリによると、CVE-2026-83548は、SMA1000のWorkPlaceインターフェースにおける意図しないフォワードプロキシ機能が原因で発生する、認証前SSRF脆弱性です。
この欠陥のCVSSスコアは最大値の10.0で、悪用に認証は不要です。
CVE-2026-83549は、Appliance Management Consoleにおける認証後リモートコード実行(RCE)脆弱性です。CVSSスコアは7.8で、単独で悪用する場合は管理者権限でのアクセスが必要になります。
Rapid7によると、この2つの脆弱性は連鎖させて悪用することが可能です。まずCVE-2026-83548によって未認証のままある機能へのアクセスを得て、それを足がかりにCVE-2026-83549を悪用し、事前の認証なしにOSコマンドを実行できるといいます。
SonicWallは両脆弱性について積極的な悪用が確認されたことを認めていますが、今回の攻撃活動の詳細、攻撃者の特定情報、公開された侵害指標(IoC)についてはまだ公表していません。
影響を受けるSMA1000アプライアンスは直ちにパッチを
この脆弱性は、以下の脆弱なプラットフォームホットフィックスバージョンで稼働するSMA1000の6210、7210、8200vアプライアンスに影響します。
-
12.4.3-03453以前
-
12.5.0-02835以前
各組織は以下のバージョンへの更新が必要です。
-
12.4.3-03526以降
-
12.5.0-02952以降
SonicWallはまた、影響を受けるアプライアンスに侵害の痕跡がないか確認するため、同社のテクニカルサポートチームに連絡することも推奨しています。
侵害が検出された場合、管理者は以下の対応を行う必要があります。
-
物理アプライアンスの再イメージ化、または仮想アプライアンスの再デプロイを行う。
-
すべてのユーザーおよび管理者のパスワードを変更する。
-
TOTPトークンをリセットする。
SMA1000アプライアンスは内部リソースへのリモートアクセスを提供するものであるため、各組織はホットフィックスの適用だけで十分な対策と見なすのではなく、外部に露出しているシステムのパッチ適用と調査を優先すべきです。
SMA1000は7月にも標的に
今回の公表は、7月に修正された別の積極的に悪用されていたSMA1000脆弱性チェーンに続くものです。
CVE-2026-15409とCVE-2026-15410は同じアプライアンスファミリーに影響し、連鎖させることでリモートコード実行が可能でした。7月の修正版は12.4.3-03453および12.5.0-02835でしたが、これらは現在、今回新たに公表された脆弱性の影響を受けるビルドとして挙げられているものと同一です。
Volexityの調査によると、脅威アクター「UTA0533」は少なくとも6月22日以降、7月の脆弱性を悪用していたことが判明しています。攻撃者はルート権限でのコマンド実行を獲得し、KNUCKLEBALLやORANGETAILウェブシェルを含むマルウェアを展開していました。
eSecurity Planetは以前にも、積極的に悪用されていた7月のSMA1000脆弱性について取り上げており、この脆弱性はCISAの既知の悪用脆弱性(KEV)カタログにも追加されていました。
7月のインシデント後にパッチを適用済みの組織であっても、今回の新しいホットフィックスが必要です。7月の脆弱性を修正したバージョンが、現在はCVE-2026-83548とCVE-2026-83549の影響を受けるバージョンとなっているためです。
あわせて読みたい: 中国系ハッカーがCisco IOS XRルーターを侵害し、そのインフラを利用して他のネットワークへの秘密の侵入経路を構築していました。
翻訳元: https://www.esecurityplanet.com/news/news-sonicwall-sma1000-zero-days-active-attack/
