SonicWall sollecita l’applicazione urgente delle patch dopo lo sfruttamento di due vulnerabilità nelle SMA1000

SonicWall invita i clienti ad aggiornare gli appliance SMA1000 dopo aver confermato che gli aggressori stanno sfruttando due vulnerabilità in campagne zero-day. Le falle, tracciate come CVE-2026-15409 e CVE-2026-15410, interessano l’interfaccia Appliance Work Place e la Appliance Management Console.

CVE-2026-15409 è una vulnerabilità critica di server-side request forgery, con un punteggio CVSS pari a 10,0. Può essere sfruttata da remoto senza autenticazione per indurre un appliance a inviare richieste verso destinazioni non previste. CVE-2026-15410 è una vulnerabilità ad alta gravità di code injection post-autenticazione, con un punteggio CVSS di 7,2, che potrebbe consentire a un amministratore autenticato di eseguire comandi arbitrari del sistema operativo. SonicWall ha assegnato all’avviso un punteggio complessivo di 10,0.

Il vendor ha dichiarato che il proprio team di sicurezza dei prodotti ha analizzato diversi incidenti e ha trovato prove di sfruttamento attivo. Non ha precisato se gli aggressori stiano combinando le due vulnerabilità nelle stesse campagne.

Prodotti interessati e correzioni

I problemi interessano gli appliance SMA1000 6210 e 7210, oltre all’appliance virtuale 8200v, quando eseguono specifiche release platform-hotfix 12.4.3 o 12.5.0. SonicWall ha rilasciato le correzioni nelle versioni platform-hotfix 12.4.3-03453 e 12.5.0-02835, oltre che nelle versioni successive. L’azienda afferma che non esistono mitigazioni alternative né soluzioni temporanee.

Le vulnerabilità non interessano la funzionalità SSL-VPN sui firewall SonicWall né la famiglia di prodotti SMA 100. La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha aggiunto entrambe le CVE al proprio catalogo delle vulnerabilità note sfruttate. In base alle direttive federali, le agenzie statunitensi devono correggere le falle entro il 17 luglio 2026 oppure interrompere l’utilizzo dei prodotti interessati se non sono in grado di applicare le correzioni.

Verifiche per individuare una possibile compromissione

Gli amministratori dovrebbero esaminare i log degli appliance e i file di configurazione alla ricerca degli indicatori forniti da SonicWall, tra cui richieste riuscite a /__api__/login o /__api__/logout, richieste /wsproxy sospette con risposta HTTP 101, rollback degli hotfix che utilizzano nomi di file con path traversal e route imprevisti per quei percorsi API in /var/lib/unit/conf.json.

In caso di sospetta compromissione, SonicWall raccomanda di reinstallare l’immagine sugli appliance fisici o ridistribuire quelli virtuali, modificare le password degli amministratori e degli utenti e reimpostare i token TOTP. Le organizzazioni dovrebbero installare l’hotfix applicabile e verificare la presenza di ulteriori attività non autorizzate.