В пристроях SonicWall SMA 1000 виявлено критичну вразливість CVE-2026-102255 — підробка серверних запитів (SSRF) без попередньої автентифікації. За даними початкового звіту, вразливість отримала бал CVSS 10.0, хоча незалежно підтвердити цю оцінку через вендорський бюлетень або NVD на момент публікації не вдалося. SonicWall випустила виправлення 6 жовтня 2026 року, однак уже через два дні з’явилися повідомлення про спроби експлуатації. Організаціям, що використовують SMA 1000, необхідно негайно встановити оновлення — це вже третя критична вразливість у цій продуктовій лінійці за 2026 рік, і попередні активно використовувалися зловмисниками для проникнення в корпоративні мережі.
Технічні деталі вразливості
CVE-2026-102255 належить до класу SSRF (Server-Side Request Forgery) — підробка серверних запитів. Експлуатація дає змогу віддаленому зловмиснику без автентифікації змусити пристрій виконувати запити від його імені, отримуючи доступ до внутрішньої функціональності та виконуючи несанкціоновані операції. За даними початкового звіту, SonicWall опублікувала бюлетень безпеки SNWLID-2026-0017 і випустила два виправлення:
- Версія 12.4.3-03670 (platform-hotfix)
- Версія 12.5.0-03082 (platform-hotfix)
Важливо наголосити: конкретні номери версій і оцінка CVSS 10.0 підтверджені лише початковим новинним звітом. Рекомендується звірити застосовні оновлення безпосередньо з бюлетенем SonicWall.
Статус експлуатації
Початковий звіт посилається на дані компаній Defused Cyber і Previdian, які зафіксували спроби експлуатації CVE-2026-102255, починаючи з 8 жовтня 2026 року. Повідомляється про 135 спроб із двох IP-адрес, розташованих у США. Однак ці дані не отримали незалежного підтвердження: ані SonicWall, ані CISA, ані великі дослідницькі компанії поки не підтвердили факт активної експлуатації. CVE-2026-102255 не внесена до каталогу CISA KEV (Known Exploited Vulnerabilities), на відміну від двох попередніх вразливостей у тому ж продукті. Таким чином, наразі коректніше говорити про зафіксовані спроби сканування, а не про підтверджені компрометації.
Контекст: попередні атаки на SMA 1000
CVE-2026-102255 — не поодинокий інцидент. Раніше у 2026 році дві інші вразливості в SonicWall SMA 1000 активно експлуатувалися як вразливості нульового дня:
- CVE-2026-15409 (CVSS 10.0) — критична SSRF-вразливість, що дає змогу неавтентифікованому зловмиснику відкрити тунель на основі WebSocket до сервісів, доступних лише на localhost.
- CVE-2026-15410 (CVSS 7.2) — вразливість упровадження коду, яка забезпечує виконання команд із правами root через механізм remove_hotfix.
Обидві вразливості були виявлені командою Rapid7 MDR і внесені до каталогу CISA KEV 14 липня 2026 року з крайнім терміном усунення 17 липня. Ми уже писали про експлуатацію цих вразливостей раніше.
За даними Rapid7, після компрометації пристрою через ланцюжок CVE-2026-15409 + CVE-2026-15410 зловмисники систематично витягували облікові дані, бази активних сесій і конфігурації TOTP-насіння для багатофакторної автентифікації. Далі відбувалося горизонтальне переміщення — атакувальники проникали зі скомпрометованого пристрою безпосередньо у внутрішню корпоративну мережу, включно з аномальними автентифікаціями в Active Directory без VPN.
Цей контекст має критичне значення: CVE-2026-102255, будучи також SSRF-вразливістю без автентифікації в тому ж продукті, потенційно відкриває подібні вектори атаки. Пристрої SMA 1000 уже зарекомендували себе як пріоритетна ціль для зловмисників, які шукають прихований початковий доступ до корпоративних мереж.
Зачеплені продукти та версії
CVE-2026-102255 зачіпає пристрої серії SonicWall SMA 1000. За даними Rapid7, у контексті попередніх вразливостей вразливими моделями є SMA 6210, 7210 і 8200v. Для CVE-2026-15409 і CVE-2026-15410 уразливими були версії прошивки:
- 12.4.3-03245, 12.4.3-03387, 12.4.3-03434
- 12.5.0-02283, 12.5.0-02624, 12.5.0-02800
Виправлені версії для попередніх вразливостей — 12.4.3-03453 і 12.5.0-02835 відповідно. Для CVE-2026-102255 потрібні новіші версії: 12.4.3-03670 і 12.5.0-03082. Тимчасових рішень для усунення вразливостей без оновлення не передбачено.
Рекомендації
Негайне оновлення: встановіть версії 12.4.3-03670 або 12.5.0-03082 (або новіші) на всі пристрої SMA 1000. З огляду на історію експлуатації цієї продуктової лінійки, зволікання створює реальний ризик компрометації.
Перевірка на компрометацію: згідно з рекомендаціями Rapid7 для попереднього ланцюжка атак, адміністраторам слід перевірити такі індикатори:
- У файлі
extraweb_access.log— запити доwsproxy, що повертають HTTP 101, із підозрілими параметрами хоста в стилі localhost - У файлі
ctrl-service.log— виклики утилітиremove_hotfixіз послідовностями обходу каталогів, що вказують на сторонні скрипти
Ці індикатори розроблені для виявлення експлуатації CVE-2026-15409 і CVE-2026-15410 і не є специфічними для CVE-2026-102255, однак можуть вказувати на раніше непомічену компрометацію пристрою.
Заходи після експлуатації: якщо виявлено ознаки компрометації, необхідно скинути всі облікові дані, що зберігалися на пристрої, анулювати активні сесії та повторно згенерувати TOTP-насіння MFA — саме ці дані витягували зловмисники в попередніх атаках.
Пристрої SonicWall SMA 1000 — утретє за 2026 рік стають об’єктом критичних вразливостей із підтвердженою або ймовірною експлуатацією. Організаціям, що експлуатують ці пристрої, слід не лише встановити поточний патч, а й провести аудит логів за останні місяці на предмет пропущених компрометацій, а також оцінити доцільність обмеження прямого доступу до інтерфейсу керування SMA 1000 з інтернету.
