Flaw në SonicWall SMA 1000 sheh active exploit attempts

SonicWall SMA 1000 appliances po shohin active exploitation attempts kundër CVE-2026-102255, një flaw kritik i patch-uar më 6 tetor 2026. Çështja ka rëndësi sepse Secure Mobile Access appliances janë remote access systems, dhe kur ato janë të arritshme nga interneti mund të bëhen një rrugë e drejtpërdrejtë drejt funksioneve të brendshme nëse një vulnerability serioze lihet pa patch.

Vulnerability gjurmohet si CVE-2026-102255 dhe mban një CVSS score prej 10.0, vlerësimi më i lartë i severity në atë shkallë. Ajo përshkruhet si pre-authenticated server-side request forgery, ose SSRF. Me fjalë të thjeshta, kjo do të thotë se një attacker nuk ka nevojë të sign in më parë dhe mund të jetë në gjendje ta bëjë appliance të dërgojë requests në emër të attacker. Sipas përshkrimit të vulnerability, kjo mund t’i lejojë një remote attacker të arrijë internal functionality dhe të kryejë unauthorized operations.

SonicWall publikoi fixes për flaw më 6 tetor 2026. Releases të patch-uara të listuara janë 12.4.3-03670 (platform-hotfix) dhe 12.5.0-03082 (platform-hotfix). Për IT teams, pika kryesore operacionale është e qartë: çdo SonicWall SMA 1000 appliance që mbulohet nga ky advisory duhet të kontrollohet kundrejt atyre fixed versions, dhe internet-facing systems duhet të kenë përparësi sepse aktiviteti i raportuar tashmë po ndodh pas public disclosure.

Threat intelligence firms Defused Cyber dhe Previdian zbuluan shenjat e para të exploitation attempts më 8 tetor 2026, dy ditë pasi fixes u publikuan. Të dhënat e Previdian tregojnë 135 përpjekje deri tani nga dy unique IP addresses të vendosura në United States. Informacioni burimor gjithashtu vëren se SonicWall ende nuk e kishte përditësuar advisory për të pasqyruar active exploitation në kohën kur ato vëzhgime u raportuan.

Kjo nuk është activity e parë e fundit e exploitation që përfshin SonicWall SMA 1000 appliances. Në qershor 2026, dy vulnerabilities të tjera në të njëjtin produkt, CVE-2026-15409 me CVSS score 10.0 dhe CVE-2026-15410 me CVSS score 7.2, u exploited si zero-days nga një threat actor i identifikuar si UTA0533. Një zero-day është një flaw që përdoret nga attackers përpara se një fix të jetë i disponueshëm ose përpara se defenders të kenë pasur kohën normale për t’u përgjigjur. Në atë aktivitet të qershorit, flaws u përdorën për të deploy Java web shells dhe malware të quajtur KNUCKLEBALL.

Rapid7 raportoi gjithashtu activity rreth atyre flaws të mëparshme. Sipas Rapid7, threat actors përdorën vulnerabilities kundër internet-facing devices si një stealthy initial access route, pastaj ekzekutuan operating system commands dhe punuan për të mbajtur long-term, persistent access. Një web shell është një tool i vogël malicious i vendosur në një server ose appliance që një attacker të mund ta kontrollojë atë remotely, ndërsa persistent access do të thotë se attacker po përpiqet të mbetet në gjendje të kthehet edhe pas compromise të parë.

Rapid7 tha se pasi fituan një foothold në appliance, actors nxorën high-value credentials, active session databases dhe Time-Based One-Time Password multi-factor authentication seed configurations. Time-Based One-Time Passwords, shpesh të quajtura TOTP, janë kodet short-lived që shumë users i fusin nga një authenticator app. Rapid7 tha se attackers pastaj përdorën ato resources të mbledhura për të lëvizur nga appliance i compromised në internal corporate network.

Për website owners dhe businesses, mësimi i menjëhershëm është se remote access appliances duhet të trajtohen si high-value security infrastructure, jo si background networking equipment. Ato shpesh ndodhen në boundary midis public internet dhe private systems, prandaj një critical pre-authentication flaw mund të ketë pasoja përtej vetë appliance. Managed hosting, cloud services, WordPress operations dhe internal business applications mund të varen të gjitha nga integrity e access systems që mbrojnë administrative dhe corporate environments.

Teams përgjegjëse për këto systems duhet të konfirmojnë nëse janë deployed ndonjë SonicWall SMA 1000 appliances, të kontrollojnë software level-in e tyre, të aplikojnë fixed platform-hotfix versions aty ku zbatohet, dhe të rishikojnë logs për activity rreth disclosure window. Për shkak se attempts të raportuara filluan pak pas patch release, vonimi i updates rrit periudhën në të cilën një exposed appliance mund të testohet nga attackers. Nëse ka shenja compromise, credential dhe session exposure duhet të merret parasysh, veçanërisht duke pasur parasysh activity të mëparshme të përshkruar nga Rapid7.

Për organisations që kanë nevojë për ndihmë në rishikimin e security-sensitive infrastructure decisions, AEU-I është relevant këtu si security-first IT, infrastructure dhe consulting, sidomos kur remote access systems ndikojnë në wider environment që ato mbrojnë.

Mesazhi praktik është i ngushtë por urgjent: CVE-2026-102255 ka një critical severity score, fixed versions janë të disponueshme, dhe exploitation attempts tashmë janë vëzhguar. Administrators nuk duhet të presin routine maintenance windows nëse një SonicWall SMA 1000 appliance i prekur është i exposed to the internet.