SonicWall, Aktif Olarak İstismar Edilen SMA1000 Sıfırıncı Gün Açıklarını Uyardı

SonicWall, tehdit aktörlerinin uzaktan kod yürütme saldırılarında iki SMA1000 sıfırıncı gün açığını birlikte kullandığı konusunda müşterilerini uyardı.

İlk açık olan CVE-2026-83548, SMA1000 Appliance WorkPlace arayüzündeki kritik düzeyde bir komut enjeksiyonu açığı. Açık, sunucu taraflı istek sahteciliği (SSRF) zafiyetinden kaynaklanıyor. İkinci açık CVE-2026-83549 ise SMA1000 Appliance Management Console içindeki bir komut enjeksiyonu açığı. Yönetici ayrıcalıklarına sahip saldırganlar bu açığı kullanarak savunmasız cihazlarda istedikleri işletim sistemi komutlarını çalıştırabiliyor.

SonicWall PSIRT, açıkların aktif olarak istismar edildiğini gösteren bir vakayı inceledi ve müşterilerinden sanal ya da fiziksel SMA1000 cihazlarını en yeni hotfix sürümüne yükseltmelerini istedi. Şirket, ihlal göstergeleri (IOCs) tespit edilirse cihazların yeniden imajlanmasını, kullanıcı ve yönetici parolalarının değiştirilmesini ve TOTP token'larının sıfırlanmasını da önerdi.

Açıklar SMA1000 6210, 7210 ve 8200v modellerini etkiliyor. SonicWall güvenlik duvarlarında çalışan SSL-VPN veya SMA 100 Series ürün ailesi etkilenmiyor.

Shadowserver, çevrimiçi olarak açıkta bulunan 400'den fazla SMA1000 cihazını izliyor; ancak bazıları bu istismar zincirine karşı zaten yamalanmış olabilir. SonicWall, devam eden saldırıların ayrıntılarını veya soruşturmasında belirlediği IOCs listesini paylaşmadı.