SonicWall SMA 1000: tentativi di exploit attivi su una vulnerabilità

Gli appliance SonicWall SMA 1000 stanno registrando tentativi di exploit attivi contro CVE-2026-102255, una vulnerabilità critica corretta il 6 ottobre 2026. Il problema è importante perché gli appliance Secure Mobile Access sono sistemi di accesso remoto e, quando sono raggiungibili da internet, possono diventare una via diretta verso funzioni interne se una vulnerabilità grave resta senza patch.

La vulnerabilità è tracciata come CVE-2026-102255 e ha un punteggio CVSS di 10.0, il livello di gravità più alto su quella scala. È descritta come una server-side request forgery pre-autenticata, o SSRF. In termini semplici, ciò significa che un attaccante non deve prima effettuare l’accesso e potrebbe riuscire a far inviare richieste dall’appliance per proprio conto. Secondo la descrizione della vulnerabilità, questo potrebbe consentire a un attaccante remoto di raggiungere funzionalità interne ed eseguire operazioni non autorizzate.

SonicWall ha rilasciato correzioni per la vulnerabilità il 6 ottobre 2026. Le release con patch indicate sono 12.4.3-03670 (platform-hotfix) e 12.5.0-03082 (platform-hotfix). Per i team IT, il punto operativo chiave è semplice: qualsiasi appliance SonicWall SMA 1000 coperto da questo advisory deve essere verificato rispetto a quelle versioni corrette, e i sistemi esposti a internet devono avere la priorità perché l’attività segnalata è già in corso dopo la divulgazione pubblica.

Le società di threat intelligence Defused Cyber e Previdian hanno rilevato i primi segnali di tentativi di exploit l’8 ottobre 2026, due giorni dopo il rilascio delle correzioni. I dati di Previdian mostrano finora 135 tentativi da due indirizzi IP unici situati negli Stati Uniti. Le informazioni di origine indicano inoltre che SonicWall non aveva ancora aggiornato il proprio advisory per riflettere l’exploit attivo nel momento in cui tali osservazioni sono state segnalate.

Questa non è la prima attività di exploit recente che coinvolge appliance SonicWall SMA 1000. Nel giugno 2026, altre due vulnerabilità nello stesso prodotto, CVE-2026-15409 con un punteggio CVSS di 10.0 e CVE-2026-15410 con un punteggio CVSS di 7.2, sono state sfruttate come zero-day da un threat actor identificato come UTA0533. Uno zero-day è una vulnerabilità usata dagli attaccanti prima che sia disponibile una correzione o prima che i difensori abbiano avuto il normale tempo per rispondere. In quell’attività di giugno, le vulnerabilità sono state usate per distribuire web shell Java e un malware chiamato KNUCKLEBALL.

Rapid7 ha segnalato attività anche intorno a quelle vulnerabilità precedenti. Secondo Rapid7, i threat actor hanno usato le vulnerabilità contro dispositivi esposti a internet come via furtiva di accesso iniziale, quindi hanno eseguito comandi del sistema operativo e hanno lavorato per mantenere un accesso persistente e di lungo periodo. Una web shell è un piccolo strumento malevolo collocato su un server o su un appliance affinché un attaccante possa controllarlo da remoto, mentre accesso persistente significa che l’attaccante sta cercando di mantenere la possibilità di tornare anche dopo la prima compromissione.

Rapid7 ha affermato che, dopo aver ottenuto un punto d’appoggio sull’appliance, gli attori hanno estratto credenziali di alto valore, database di sessioni attive e configurazioni seed di Time-Based One-Time Password multi-factor authentication. Le Time-Based One-Time Password, spesso chiamate TOTP, sono i codici di breve durata che molti utenti inseriscono da un’app di autenticazione. Rapid7 ha affermato che gli attaccanti hanno poi usato quelle risorse raccolte per spostarsi dall’appliance compromesso alla rete aziendale interna.

Per proprietari di siti web e aziende, la lezione immediata è che gli appliance di accesso remoto devono essere trattati come infrastrutture di sicurezza di alto valore, non come apparecchiature di rete di contorno. Spesso si trovano al confine tra internet pubblico e sistemi privati, quindi una vulnerabilità critica pre-autenticazione può avere conseguenze oltre l’appliance stesso. Hosting gestito, servizi cloud, operazioni WordPress e applicazioni aziendali interne possono dipendere tutti dall’integrità dei sistemi di accesso che proteggono ambienti amministrativi e aziendali.

I team responsabili di questi sistemi devono confermare se siano distribuiti appliance SonicWall SMA 1000, verificare il loro livello software, applicare le versioni platform-hotfix corrette dove applicabile e rivedere i log per attività intorno alla finestra di divulgazione. Poiché i tentativi segnalati sono iniziati poco dopo il rilascio della patch, ritardare gli aggiornamenti aumenta il periodo in cui un appliance esposto può essere testato dagli attaccanti. Se vi sono segnali di compromissione, deve essere considerata l’esposizione di credenziali e sessioni, soprattutto alla luce dell’attività precedente descritta da Rapid7.

Per le organizzazioni che hanno bisogno di aiuto nel riesaminare decisioni infrastrutturali sensibili alla sicurezza, AEU-I è rilevante in questo contesto come IT, infrastruttura e consulenza security-first, specialmente quando i sistemi di accesso remoto incidono sull’ambiente più ampio che proteggono.

Il messaggio pratico è circoscritto ma urgente: CVE-2026-102255 ha un punteggio di gravità critico, sono disponibili versioni corrette e sono già stati osservati tentativi di exploit. Gli amministratori non devono attendere le finestre di manutenzione ordinarie se un appliance SonicWall SMA 1000 interessato è esposto a internet.