Nuove informazioni rivelano che gli attacchi ai dispositivi SonicWall SMA 1000 sono più estesi del previsto, con quattro vulnerabilità critiche sfruttate attivamente per ottenere l'accesso alle reti aziendali.
La sicurezza dei dispositivi di accesso remoto è nuovamente sotto i riflettori, con attori malevoli che hanno iniziato a sfruttare attivamente una grave vulnerabilità scoperta di recente nei dispositivi SonicWall Secure Mobile Access (SMA) 1000. Questo sfruttamento rapido evidenzia la costante evoluzione delle minacce informatiche e la necessità di un'azione immediata da parte delle organizzazioni.
Inizialmente, l'attenzione si era concentrata su una falla critica identificata come CVE-2026-102255. Questa vulnerabilità, classificata con un punteggio CVSS di 10.0, rientra nella categoria delle Server-Side Request Forgery (SSRF) pre-autenticate. In sostanza, permette a un attaccante remoto non autenticato di indurre il dispositivo a inoltrare richieste per suo conto, consentendo l'accesso a funzionalità interne e l'esecuzione di operazioni non autorizzate, bypassando le normali difese.
Le nuove informazioni rivelano che SonicWall ha rilasciato aggiornamenti di sicurezza per affrontare non una, ma ben quattro vulnerabilità nei suoi appliance SMA 1000, come dettagliato nell'avviso SNWLID-2026-0017. Oltre alla già nota CVE-2026-102255, sono state corrette anche le falle CVE-2026-102256 (iniezione di comandi di sistema operativo, CVSS 7.8), CVE-2026-102257 (vulnerabilità Zip Slip, CVSS 7.2) e CVE-2026-102258 (cross-site scripting memorizzato, CVSS 5.5).
Le patch correttive per queste vulnerabilità sono state rilasciate il 6 ottobre 2026, con le versioni 12.4.3-03670 e 12.5.0-03082. SonicWall ha specificato che le versioni interessate sono i modelli SMA 1000 (6210, 7210, 8200v) con versioni di piattaforma-hotfix 12.4.3-03526, 12.5.0-02952 o precedenti. L'azienda raccomanda vivamente l'aggiornamento alle versioni più recenti per mitigare i rischi.
Nonostante SonicWall avesse inizialmente dichiarato che non vi era alcuna prova di sfruttamento di queste vulnerabilità al momento della divulgazione, la realtà si è dimostrata diversa. Già l'8 ottobre 2026, solo due giorni dopo il rilascio delle patch, aziende di threat intelligence come Defused Cyber e Previdian hanno rilevato i primi tentativi di sfruttamento attivo. I dati raccolti da Previdian hanno evidenziato 135 tentativi di attacco provenienti da due indirizzi IP localizzati negli Stati Uniti.
Al momento della prima segnalazione, SonicWall non aveva ancora aggiornato il proprio bollettino di sicurezza per riflettere questo sfruttamento attivo, una lacuna che potrebbe aver lasciato molte organizzazioni esposte senza un'adeguata consapevolezza del rischio immediato.
Le nuove fonti confermano e ampliano le informazioni sull'impatto e le metodologie degli attaccanti. La vulnerabilità SSRF (CVE-2026-102255) sfrutta un percorso di accesso non intenzionale nell'interfaccia Work Place del dispositivo, permettendo all'appliance di agire come un proxy forward. Questo consente a un attaccante remoto non autenticato di effettuare richieste attraverso il dispositivo, accedendo a funzionalità interne e compiendo operazioni non autorizzate.
Le analisi indicano che gli attori malevoli stanno prendendo di mira dispositivi SMA 1000 esposti su Internet. L'obiettivo primario è ottenere un accesso furtivo (initial access vector) per eseguire comandi sul sistema operativo e stabilire una presenza persistente all'interno della rete compromessa. Una volta ottenuto questo punto d'appoggio, gli attaccanti sono in grado di estrarre sistematicamente credenziali di alto valore, database delle sessioni attive e configurazioni per la generazione di codici Time-Based One-Time Password (TOTP), utilizzati per l'autenticazione a più fattori (MFA).
Con queste informazioni critiche compromesse, gli aggressori possono poi muoversi lateralmente all'interno della rete aziendale, pivotando dal dispositivo SMA compromesso verso sistemi interni di importanza strategica. Questo scenario è particolarmente preoccupante dato che questo non è il primo incidente di sicurezza che colpisce i dispositivi SonicWall SMA 1000. A giugno 2026, altre due vulnerabilità (CVE-2026-15409 e CVE-2026-15410) erano state sfruttate come zero-day da un gruppo di attaccanti noto come UTA0533, che aveva utilizzato le falle per distribuire web shell Java e malware.
Le nuove informazioni attribuiscono il merito della segnalazione delle vulnerabilità SSRF e di iniezione di comandi al ricercatore Benoît Sevens di Anthropic. La vulnerabilità Zip Slip è stata segnalata da Brian Mariani tramite Trend Micro's Zero Day Initiative (ZDI-CAN-28924), mentre la vulnerabilità XSS memorizzato è stata attribuita a DigitalCanion SA.
È fondamentale che le organizzazioni che utilizzano dispositivi SonicWall SMA 1000 verifichino immediatamente le proprie versioni software e applichino gli aggiornamenti raccomandati per mitigare questi rischi significativi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
