В устройствах SonicWall SMA 1000 обнаружена критическая уязвимость CVE-2026-102255 — подделка серверных запросов (SSRF) без предварительной аутентификации. По данным исходного отчёта, уязвимости присвоен балл CVSS 10.0, хотя независимого подтверждения этой оценки через вендорский бюллетень или NVD на момент публикации получить не удалось. SonicWall выпустила исправления 6 октября 2026 года, однако уже через два дня появились сообщения о попытках эксплуатации. Организациям, использующим SMA 1000, необходимо немедленно установить обновления — это уже третья критическая уязвимость в данной продуктовой линейке за 2026 год, и предыдущие активно использовались злоумышленниками для проникновения в корпоративные сети.
Технические детали уязвимости
CVE-2026-102255 относится к классу SSRF (Server-Side Request Forgery) — подделка серверных запросов. Эксплуатация позволяет удалённому атакующему без аутентификации заставить устройство выполнять запросы от его имени, получая доступ к внутренней функциональности и выполняя несанкционированные операции. По данным исходного отчёта, SonicWall опубликовала бюллетень безопасности SNWLID-2026-0017 и выпустила два исправления:
- Версия 12.4.3-03670 (platform-hotfix)
- Версия 12.5.0-03082 (platform-hotfix)
Важно подчеркнуть: конкретные номера версий и оценка CVSS 10.0 подтверждены только исходным новостным отчётом. Рекомендуется сверить применимые обновления непосредственно с бюллетенем SonicWall.
Статус эксплуатации
Исходный отчёт ссылается на данные компаний Defused Cyber и Previdian, которые зафиксировали попытки эксплуатации CVE-2026-102255 начиная с 8 октября 2026 года. Сообщается о 135 попытках с двух IP-адресов, расположенных в США. Однако эти данные не получили независимого подтверждения: ни SonicWall, ни CISA, ни крупные исследовательские компании пока не подтвердили факт активной эксплуатации. CVE-2026-102255 не внесена в каталог CISA KEV (Known Exploited Vulnerabilities), в отличие от двух предшествующих уязвимостей в том же продукте. Таким образом, на текущий момент корректнее говорить о зафиксированных попытках сканирования, а не о подтверждённых компрометациях.
Контекст: предыдущие атаки на SMA 1000
CVE-2026-102255 — не изолированный инцидент. Ранее в 2026 году две другие уязвимости в SonicWall SMA 1000 активно эксплуатировались как уязвимости нулевого дня:
- CVE-2026-15409 (CVSS 10.0) — критическая SSRF-уязвимость, позволяющая неаутентифицированному атакующему открыть туннель на основе WebSocket к сервисам, доступным только на localhost.
- CVE-2026-15410 (CVSS 7.2) — уязвимость внедрения кода, обеспечивающая выполнение команд с правами root через механизм remove_hotfix.
Обе уязвимости были обнаружены командой Rapid7 MDR и внесены в каталог CISA KEV 14 июля 2026 года с крайним сроком устранения 17 июля. Мы уже писали об эксплуатации этих уязвимостей ранее.
По данным Rapid7, после компрометации устройства через цепочку CVE-2026-15409 + CVE-2026-15410 злоумышленники систематически извлекали учётные данные, базы активных сессий и конфигурации TOTP-семян для многофакторной аутентификации. Затем следовало горизонтальное перемещение — атакующие проникали из скомпрометированного устройства непосредственно во внутреннюю корпоративную сеть, включая аномальные аутентификации в Active Directory без VPN.
Этот контекст критически важен: CVE-2026-102255, будучи также SSRF-уязвимостью без аутентификации в том же продукте, потенциально открывает аналогичные векторы атаки. Устройства SMA 1000 уже зарекомендовали себя как приоритетная цель для злоумышленников, ищущих скрытый начальный доступ к корпоративным сетям.
Затронутые продукты и версии
CVE-2026-102255 затрагивает устройства серии SonicWall SMA 1000. По данным Rapid7, в контексте предыдущих уязвимостей затронутыми моделями являются SMA 6210, 7210 и 8200v. Для CVE-2026-15409 и CVE-2026-15410 уязвимыми были версии прошивки:
- 12.4.3-03245, 12.4.3-03387, 12.4.3-03434
- 12.5.0-02283, 12.5.0-02624, 12.5.0-02800
Исправленные версии для предыдущих уязвимостей — 12.4.3-03453 и 12.5.0-02835 соответственно. Для CVE-2026-102255 требуются более новые версии: 12.4.3-03670 и 12.5.0-03082. Обходных путей для устранения уязвимостей без обновления не предусмотрено.
Рекомендации
Немедленное обновление: установите версии 12.4.3-03670 или 12.5.0-03082 (или новее) на все устройства SMA 1000. Учитывая историю эксплуатации этой продуктовой линейки, промедление создаёт реальный риск компрометации.
Проверка на компрометацию: по рекомендациям Rapid7 для предыдущей цепочки атак, администраторам следует проверить следующие индикаторы:
- В файле
extraweb_access.log— запросы кwsproxy, возвращающие HTTP 101, с подозрительными параметрами хоста в стиле localhost - В файле
ctrl-service.log— вызовы утилитыremove_hotfixс последовательностями обхода каталогов, указывающими на сторонние скрипты
Эти индикаторы разработаны для обнаружения эксплуатации CVE-2026-15409 и CVE-2026-15410 и не являются специфичными для CVE-2026-102255, однако могут указывать на ранее незамеченную компрометацию устройства.
Постэксплуатационные меры: если обнаружены признаки компрометации, необходимо сбросить все учётные данные, хранившиеся на устройстве, аннулировать активные сессии и пересоздать TOTP-семена MFA — именно эти данные извлекали злоумышленники в предыдущих атаках.
Устройства SonicWall SMA 1000 — третий раз за 2026 год становятся объектом критических уязвимостей с подтверждённой или предполагаемой эксплуатацией. Организациям, эксплуатирующим эти устройства, следует не только установить текущий патч, но и провести аудит логов за последние месяцы на предмет пропущенных компрометаций, а также оценить целесообразность ограничения прямого доступа к интерфейсу управления SMA 1000 из интернета.
