A SonicWall confirmou em 14 de julho de 2026 a exploração ativa de CVE-2026-15409, uma Server-Side Request Forgery sem autenticação com pontuação CVSS máxima de 10.0 nos appliances SMA da série 1000. A CISA adicionou a falha ao catálogo KEV no mesmo dia, fixando prazo de remediação de três dias para agências federais. Um agente de ameaça rastreado como UTA0533 já explorava a cadeia desde 22 de junho, implantando malware, roubando credenciais e tentando pivô para controladores de domínio corporativos.
Como funciona o ataque
A SonicWall publicou o advisory SNWLID-2026-0008 detalhando que CVE-2026-15409 é uma Server-Side Request Forgery classificada como CWE-918 na interface Work Place dos appliances SMA1000, com pontuação CVSS 3.1 de 10.0. A falha permite que um atacante remoto sem credenciais force o appliance a fazer requisições para localizações não intencionais, potencialmente acessando sistemas internos, exfiltrando dados sensíveis ou comprometendo serviços de backend.
O vetor de entrada está em um recurso de proxy WebSocket acessível pelo caminho /wsproxy na aplicação SonicWall WorkPlace, servida por padrão na porta 443. Esse recurso opera como um túnel TCP para hosts e portas arbitrárias, fornecidos como parâmetros de URL. Ao inserir valores de host que apontam para localhost — como 0.0.0.0 ou 127.0.0.1 —, o atacante alcança serviços locais protegidos pelo firewall interno, incluindo o processo Erlang associado ao CouchDB na porta 1050 e o ctrl-service na porta 8188.
A Volexity identificou que o bypass de pré-autenticação é ativado quando a requisição usa o user-agent SMA Connect Agent e um valor de parâmetro bmID iniciado pela string -3389, retornando HTTP 101 Switching Protocols sem exigir cookie de sessão válido. Com acesso ao processo Erlang na porta 1050, o atacante estabelece execução remota de código sem autenticação adicional, pois o cookie Erlang do processo é hardcoded. Esse padrão de ataque por appliance de borda lembra a exploração de VPN da Palo Alto e a SSRF no Cisco Unified CM que permitiu escalação até root.
Escalada para acesso root completo
Após a execução de código inicial via SSRF, o atacante escala privilégios para root explorando CVE-2026-15410, uma vulnerabilidade de injeção de código classificada como CWE-94 na Appliance Management Console, com CVSS 7.2. O defeito reside no workflow remove_hotfix do ctrl-service, acessível localmente na porta 8188 ou pelo console web na porta 8443. O atacante fornece um valor de hotfix contendo uma sequência de path traversal apontando para um script malicioso previamente depositado no sistema. O ctrl-service executa o script como UID 0 (root) e reinicia o appliance logo em seguida.
A combinação das duas vulnerabilidades transforma um atacante remoto sem credenciais em administrador root do appliance, com controle total sobre o sistema operacional, credenciais armazenadas e tráfego de rede em trânsito. Assim como na falha SSRF no Exchange Server, o servidor comprometido vira ferramenta de acesso a recursos internos que normalmente seriam inacessíveis ao atacante.
A Rapid7 documentou em logs de monitoramento do sistema (pspy) que o ctrl-service executava comandos como chmod seguido da execução do script como UID 0, culminando em shutdown -r now. Com root no appliance, o atacante extrai credenciais armazenadas, bancos de dados de sessões ativas e configurações de sementes TOTP de autenticação multifator, garantindo acesso persistente que sobrevive a correções de nível de rede.
Malware e técnicas do UTA0533
A Volexity atribuiu a campanha de exploração ao agente de ameaça rastreado como UTA0533, observado comprometendo appliances desde pelo menos 22 de junho de 2026 — três semanas antes da divulgação oficial da SonicWall. O grupo utilizou mais de 200 endereços IP durante a intrusão, alguns vinculados aos provedores VPN ExpressVPN e MullvadVPN.
Após comprometer o appliance, UTA0533 implantou o malware KNUCKLEBALL, um script Python em /usr/lib/python3.11/site-packages/deploy_new.py que injeta dois arquivos JAR em um processo legítimo do SonicWall. Os JARs habilitaram acesso via webshells nos caminhos /workplace/error.jsp e /workplace/dialogs/errorDialog.jsp, retornando HTTP 404 para visitantes sem o user-agent esperado.
O grupo também implantou as ferramentas Suo5 e ORANGETAIL, redirecionadas por rotas maliciosas adicionadas ao arquivo de configuração NGINX Unit em /var/lib/unit/conf.json, mapeando /__api__/login e /__api__/logout para destinos controlados pelo atacante. Para capturar credenciais corporativas, UTA0533 executou tcpdump para interceptar tráfego LDAP descriptografado dentro do appliance, extraindo nomes de usuário e senhas em trânsito. Um arquivo identificado como lib.sh continha um script para iniciar a captura e salvar o tráfego em /var/tmp.
A Rapid7 confirmou autenticações NTLM anômalas, registradas como Windows Event ID 4624 com logon type 3, originadas diretamente do IP interno do appliance e direcionadas a controladores de domínio corporativos, usando nomes de workstation não inventariados como KALI sem sessão VPN correspondente. Esse comportamento confirmou que o appliance comprometido operava como backdoor não monitorado para a infraestrutura de diretório corporativo.
Versões afetadas e correção
As vulnerabilidades afetam os modelos SMA1000 6210, 7210 e 8200v nas builds 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 e 12.5.0-02800. As funcionalidades de SSL-VPN em firewalls SonicWall e a linha SMA 100 Series não são afetadas.
| Modelo | Builds vulneráveis | Build corrigida |
|---|---|---|
| SMA1000 6210/7210/8200v | 12.4.3-03245 a 12.4.3-03434 | 12.4.3-03453 ou superior |
| SMA1000 6210/7210/8200v | 12.5.0-02283 a 12.5.0-02800 | 12.5.0-02835 ou superior |
O advisory confirma explicitamente que não existe workaround disponível; a aplicação do platform-hotfix é a única correção completa. A CISA adicionou CVE-2026-15409 ao catálogo Known Exploited Vulnerabilities em 14 de julho de 2026, estabelecendo prazo de remediação em 17 de julho para agências federais cobertas pela BOD 26-04, com exigência de aplicar mitigações conforme instruções do fabricante ou descontinuar o uso do produto.
Passos de resposta ao incidente
Equipes que operam appliances SMA1000 expostos à internet devem executar este procedimento de resposta baseado nas orientações combinadas de SonicWall, Rapid7 e Volexity:
- Inventariar todos os appliances SMA1000 com exposição à internet e identificar a versão de firmware em execução.
- Aplicar imediatamente o platform-hotfix correspondente — 12.4.3-03453+ ou 12.5.0-02835+ — disponível em mysonicwall.com.
- Buscar indicadores de comprometimento no extraweb_access.log: requisições a /wsproxy com bmID iniciado por -3389 e status HTTP 101, bem como acessos a /__api__/login ou /__api__/logout com status 200.
- Inspecionar o ctrl-service.log por rollbacks de hotfix com nomes contendo path traversal e o arquivo /var/lib/unit/conf.json por rotas /__api__ ausentes em configurações legítimas.
- Se IOCs forem identificados, reimaginar o hardware ou reimplantar o appliance virtual, alterar todas as senhas de usuário e administrador e resetar tokens TOTP.
- Monitorar autenticações NTLM (Windows Event ID 4624, logon type 3) originadas do IP interno do appliance, especialmente com nomes de workstation não corporativos como KALI.