SonicWall varnar för aktivt utnyttjade zero-day-sårbarheter i SMA1000

SonicWall har varnat kunder för att hotaktörer kopplar samman två zero-day-sårbarheter i SMA1000 i attacker för fjärrkörning av kod.

Den första sårbarheten, CVE-2026-83548, är en sårbarhet med maximal allvarlighetsgrad för kommandoinjektion i gränssnittet SMA1000 Appliance WorkPlace. Den beror på en sårbarhet för förfrågningar från serversidan (SSRF). Den andra, CVE-2026-83549, är en sårbarhet för kommandoinjektion i SMA1000 Appliance Management Console. Angripare med administratörsbehörighet kan utnyttja den för att köra godtyckliga operativsystemkommandon på sårbara enheter.

SonicWall PSIRT utredde ett fall som visade på aktiv exploatering och uppmanade kunder att uppgradera sina virtuella eller fysiska SMA1000-enheter till den senaste hotfix-versionen. Företaget rekommenderade också att administratörer avbildar om enheter, byter användar- och administratörslösenord och återställer TOTP-token om indikatorer på intrång (IOCs) upptäcks.

Sårbarheterna påverkar SMA1000-modellerna 6210, 7210 och 8200v. De påverkar inte SSL-VPN som körs på SonicWall-brandväggar eller produktserien SMA 100 Series.

Shadowserver spårar för närvarande mer än 400 SMA1000-enheter som är exponerade på internet, även om vissa redan kan ha patchats. SonicWall har inte delat detaljer om de pågående attackerna eller någon lista över IOCs som identifierats i utredningen.