Podatność CVE-2026-102255 w SonicWall SMA1000 jest już wykorzystywana w atakach
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- BleepingComputer ()
Napastnicy próbują wykorzystać podatność CVE-2026-102255 o najwyższej krytyczności w bramach SonicWall SMA1000, załataną we wtorek. Według BleepingComputer próby wykryła sieć honeypotów firmy Previdian.
Napastnicy wykorzystują podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-102255 w urządzeniach SonicWall SMA1000. Ma ona najwyższą krytyczność, a producent załatał ją we wtorek, trzy dni przed publikacją BleepingComputer. Błąd dotyczy interfejsu Appliance WorkPlace w modelach SMA1000 6210, 7210 i 8200v. Nie dotyczy linii SMA 100 ani SSL-VPN działającego na zaporach SonicWall.
SonicWall we wtorkowym komunikacie nie oznaczył podatności jako aktywnie wykorzystywanej. Ryan Dewhurst z Previdian powiedział BleepingComputer w piątek, że sieć honeypotów (przynęt) firmy wykryła próby zgodne z tą podatnością. Spreparowane żądanie OPTIONS trafiało do interfejsu WorkPlace Extraweb i miało dotrzeć do wewnętrznej usługi CouchDB pod adresem 127.0.0.1:5984. W nagłówku Basic Authorization atakujący podawali dane logowania admin:admin. Previdian nie ustalił jeszcze, czy takie próby zakończyłyby się przejęciem jakiegokolwiek systemu. Ten sam interfejs dotyczyły wcześniejsze podatności ujawnione w lipcu i wrześniu 2026 r., ale obecna wykorzystuje inną technikę.
Jeśli używasz SMA1000 6210, 7210 lub 8200v, sprawdź, czy poprawka z wtorku jest zainstalowana, i przejrzyj logi pod kątem żądań opisanych wyżej. Shadowserver widzi ponad 400 urządzeń SMA1000 dostępnych z internetu. Nie wiadomo, ile z nich to honeypoty ani ile zostało już załatanych. Według BleepingComputer te bramy są atrakcyjnym celem, bo korzystają z nich m.in. duże firmy i agencje rządowe do dostępu przez VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. do aplikacji i sieci wewnętrznych.
To nie pierwszy taki przypadek. W lipcu napastnicy przez kilka tygodni wykorzystywali dwie podatności zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. (CVE-2026-15409 i CVE-2026-15410) do instalowania na bramach SMA1000 złośliwego oprogramowania Sou5, OrangeTail i RootRun. CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. powiązała później część tych ataków z gangami ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.. We wrześniu SonicWall ostrzegał, że atakujący łączą dwie kolejne podatności (CVE-2026-83548 i CVE-2026-83549), by zdalnie wykonywać kod na bramach SMA1000. W ciągu czterech lat CISA dodała do swojego katalogu aktywnie wykorzystywanych podatności 19 podatności SonicWall, z czego 13 oznaczyła jako używane przez gangi ransomware.
Pojęcia w tym tekście (5)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Wirtualna sieć prywatna
- Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.
- Zero-day
- Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
- CISA
- Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
- Ransomware
- Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.