A SonicWall confirmou exploração ativa de duas vulnerabilidades zero-day em appliances da série SMA1000, incluindo uma falha de server-side request forgery avaliada em CVSS 10,0 que permite a um atacante remoto não autenticado abrir túneis websocket para serviços internos do equipamento. Encadeada com a CVE-2026-15410, uma injeção de código no console de gerenciamento, a combinação concede ao invasor execução de comandos como root no appliance de acesso remoto corporativo. A CISA adicionou ambas as falhas ao catálogo KEV em 14 de julho de 2026, com prazo de correção de três dias, e pesquisadores da Volexity documentaram intrusões iniciadas em 22 de junho, três semanas antes da divulgação oficial.
A cadeia de ataque
A vulnerabilidade inicial, CVE-2026-15409 (CVSS 10,0, CWE-918), reside no recurso de proxy websocket acessível pelo caminho /wsproxy na aplicação SonicWall WorkPlace, servida por padrão na porta 443. Esse recurso foi projetado para permitir sessões SSH pelo navegador, mas não valida adequadamente o destino da conexão. Aceita host e porta definidos pelo usuário e opera como túnel TCP similar ao netcat, permitindo conexões arbitrárias. Ao direcionar o host para localhost, o atacante alcança serviços internos do appliance — entre eles o banco de dados CouchDB em localhost:1050, embarcado com credenciais padrão hardcoded admin:admin, e o ctrl-service em localhost:8188.
Com acesso a esses serviços, o CouchDB exposto permite ler o identificador de hardware do appliance — dado necessário para acessar métodos do endpoint sysCtrl vulneráveis a injeção de comandos. A partir daí, o atacante explora a CVE-2026-15410 (CVSS 7,2, CWE-94), uma injeção de código no fluxo remove_hotfix do ctrl-service. Fornecendo um valor de hotfix com sequência de path traversal, o sistema executa o script referenciado com privilégios de root e reinicia o appliance imediatamente, dificultando a detecção em tempo real. A SonicWall confirma que não existem workarounds: a única mitigação é aplicar o platform-hotfix mais recente.
Exploração ativa antes do patch
Pesquisadores da Volexity analisaram logs, imagens de disco e a memória de dois appliances comprometidos e concluíram que os ataques começaram em 22 de junho de 2026, semanas antes da divulgação pública das falhas em 14 de julho. Os alvos incluíam empresas de médio e grande porte, multinacionais, agências governamentais e provedores de segurança gerenciada. O objetivo era acesso furtivo e persistente: capturar credenciais em cache, interceptar tráfego de rede e coletar credenciais processadas pelos appliances de acesso remoto. Apesar disso, a Volexity observou que os atacantes tiveram menos sucesso em pivotar para outros sistemas internos.
Após obter root, o grupo instalou quatro artefatos maliciosos: ROOTRUN (arquivo xzfind), ferramenta de escalação de privilégio; KNUCKLEBALL (deploy_new.py), loader em Python que injeta componentes Java no processo legítimo do SonicWall; Suo5 (agent_wp8.jar), proxy open-source para retransmissão de tráfego; e ORANGETAIL (agent_wp9.jar), web shell personalizado que só responde a requisições com string de identificação de navegador específica. Os invasores reescreveram a configuração web do appliance para que endereços aparentemente inócuos roteassem secretamente para o proxy e o web shell, garantindo controle remoto persistente. A equipe MDR da Rapid7 observou de forma independente a exploração direcionada de appliances expostos na internet antes da divulgação oficial, com extração sistemática de credenciais de alto valor, bancos de sessões ativas e seeds TOTP para garantir persistência que sobrevivesse a correções no nível de rede.
Indicadores de comprometimento
A SonicWall e a Rapid7 publicaram indicadores de comprometimento para auditoria em cada appliance SMA1000. O arquivo /var/lib/unit/conf.json pode conter rotas para /__api__/login ou /__api__/logout, URIs inexistentes em configurações legítimas e sinal de adulteração na configuração web. O log extraweb_access.log deve mostrar requisições a /wsproxy com host suspeito e status HTTP 101, indicando túnel websocket. O ctrl-service.log pode registrar remoções de hotfix com nomes contendo path traversal.
A Rapid7 identificou que os atacantes utilizaram endereços IP do provedor de hospedagem FNS Holdings Limited (ASN 206092), incluindo faixas como 45.131.194.0/24, 45.146.54.0/24, 63.135.161.0/24 e 173.239.211.0/24, e realizaram autenticações NTLM em controladores de domínio a partir do IP interno do appliance, sem sessão VPN correspondente. Esse movimento lateral direto, com nomes de estação atípicos como KALI e sem túnel VPN ativo, confirma que o equipamento havia sido completamente comprometido e operava como backdoor não monitorado para o Active Directory.
Versões afetadas e correção
As vulnerabilidades afetam os modelos SMA1000 6210, 7210 e 8200v nas versões de platform-hotfix 12.4.3 e 12.5.0. A linha SMA 100 e a funcionalidade SSL-VPN em firewalls SonicWall não são afetadas por essas falhas.
| Modelo | Versões afetadas | Versão corrigida |
|---|---|---|
| 6210, 7210, 8200v | 12.4.3-03245, 03387, 03434 | 12.4.3-03453 ou superior |
| 6210, 7210, 8200v | 12.5.0-02283, 02624, 02800 | 12.5.0-02835 ou superior |
As versões corrigidas são 12.4.3-03453 e 12.5.0-02835, disponíveis no portal mysonicwall.com. A CISA estabeleceu prazo de três dias para agências federais sob o BOD 26-04: ambas as falhas entraram no KEV em 14 de julho com data limite de 17 de julho de 2026. A diretiva exige ainda verificar se o sistema foi comprometido antes da aplicação do patch.
Por causa da exploração ativa confirmada, a SonicWall orienta reimagear appliances comprometidos, alterar senhas e resetar tokens TOTP:
- Aplicar o platform-hotfix mais recente em todos os appliances imediatamente.
- Realizar análise forense completa buscando os IOCs publicados pela SonicWall e pela Rapid7.
- Se indicadores forem encontrados, reimagear o hardware ou reimplantar o virtual do zero.
- Alterar todas as senhas de usuários e administradores.
- Resetar todos os tokens TOTP de autenticação multifator.
- Auditar backups de configuração — apenas os anteriores às versões hotfix de dezembro são confiáveis.
Equipamentos de borda como o SMA1000 permanecem alvos prioritários para acesso inicial de ameaças persistentes, e a velocidade entre divulgação e exploração demonstra por que monitorar o catálogo KEV da CISA deve ser rotina de qualquer programa de gestão de vulnerabilidades — como também ocorreu no bypass de VPN na Palo Alto e em outros casos de exploit em circulação.