Duas vulnerabilidades críticas no SonicWall SMA1000, rastreadas como CVE-2026-15409 (CVSS 10.0) e CVE-2026-15410 (CVSS 7.2), estão sob exploração ativa desde junho de 2026 e exigem correção imediata. A cadeia combina um Server-Side Request Forgery não autenticado com injeção de código para conceder acesso root ao appliance sem credenciais. A SonicWall publicou os hotfixes 12.4.3-03453 e 12.5.0-02835 em 14 de julho, e a CISA adicionou ambas as falhas ao catálogo KEV com prazo final de 17 de julho de 2026.

O ataque afeta os modelos SMA 6210, SMA 7210 e SMA 8200v — incluindo a versão virtual CMS — e não compromete o SSL VPN dos firewalls SonicWall nem a linha SMA 100 Series, que usam arquitetura diferente. Assim como ocorreu com a CVE-2026-58644 no SharePoint, a entrada no KEV da CISA sinaliza risco elevado e prazo curto para ação das equipes de segurança.

Como funciona a cadeia de ataque

A exploração começa pelo CVE-2026-15409, um SSRF na interface Appliance Work Place do SMA1000. Um atacante remoto e sem credenciais envia uma requisição maliciosa ao endpoint /wsproxy e força o appliance a abrir um túnel WebSocket para serviços internos acessíveis somente a partir de localhost — entre eles o banco CouchDB e o serviço de gestão do dispositivo na porta 8188, onde roda o Appliance Management Console (AMC).

Com esse túnel, o appliance passa a agir como solicitante autenticado junto ao AMC, contornando o requisito de autenticação do CVE-2026-15410. O atacante então aciona o método RPC sysCtrl.execRemoveHotfix por meio de um caminho de path traversal para injetar comandos de sistema executados como root, assumindo controle total do appliance. Não existe workaround: somente o patch fecha a falha, e regras de firewall que restrinjam o acesso ao portal apenas reduzem a superfície de ataque.

Versões afetadas e correção

Todos os modelos SMA 1000 (6210, 7210, 8200v e CMS, em qualquer hipervisor) com firmware das famílias 12.4.3 ou 12.5.0 estão afetados. A SonicWall disponibiliza os hotfixes no portal mysonicwall.com e orienta reimagem ou reimplantação caso haja indicadores de comprometimento.

Versão afetada Versão corrigida
12.4.3-03245 12.4.3-03453 ou superior
12.4.3-03387 12.4.3-03453 ou superior
12.4.3-03434 12.4.3-03453 ou superior
12.5.0-02283 12.5.0-02835 ou superior
12.5.0-02624 12.5.0-02835 ou superior
12.5.0-02800 12.5.0-02835 ou superior

Após aplicar o hotfix, é obrigatório executar análise forense completa do sistema para descartar comprometimento anterior. Se houver indicadores de comprometimento, a SonicWall determina reimagem do hardware — ou reimplantação no caso virtual —, troca de senhas de usuários e administradores e redefinição dos tokens TOTP. Backups de configuração só devem ser usados se forem anteriores às versões de dezembro (12.4.3-03245 e 12.5.0-02283); caso contrário, audite a configuração minuciosamente para descartar adulteração. Restaurar um backup contaminado reintroduz o acesso do atacante mesmo após o patch.

Indicadores de comprometimento

A SonicWall publicou indicadores específicos. Equipes de resposta a incidentes devem verificar a presença dos artefatos abaixo no appliance antes de declará-lo limpo:

  • Arquivo /var/lib/unit/conf.json contendo rotas para /__api__/login e /__api__/logout.
  • No log extraweb_access.log, requisições com status HTTP 200 para /__api__/login ou /__api__/logout.
  • No log extraweb_access.log, requisições para /wsproxy com parâmetros de host suspeitos e status HTTP 101.
  • No log ctrl-service.log, entradas com a expressão “hotfix removal” que incluam um nome de path traversal.

Segundo a Volexity, que auxiliou a SonicWall na investigação, o grupo rastreado como UTA0533 iniciou a exploração em 22 de junho de 2026, três semanas antes da divulgação oficial. O atacante instalou o dropper KNUCKLEBALL (deploy_new.py), que descarregou duas famílias de malware em Java — Sou5, um reverse proxy que tunela tráfego pelo appliance comprometido, e ORANGETAIL, uma webshell criptografada capaz de executar payloads dinamicamente dentro de uma sessão HTTP — além do ROOTRUN, ferramenta de escalonamento para rodar comandos como root.

A sofisticação técnica do malware contrasta com a baixa movimentação lateral observada nos ambientes investigados, mas o risco de persistência e exfiltração permanece alto. Equipamentos expostos à internet devem ser tratados como potencialmente comprometidos, mesmo sem evidência imediata. O padrão de abuso de appliances de perímetro se repete em outros vetores cobertos pelo portal, como a falha de RCE no Langflow, em que a exploração ativa exigiu ação imediata das equipes.

Fontes