Una vulnerabilità di massima gravità nei gateway SonicWall SMA1000, identificata come CVE-2026-102255, risulta già oggetto di tentativi di sfruttamento. La falla riguarda l’interfaccia Appliance WorkPlace e può consentire a un attaccante remoto non autenticato di far inviare richieste al dispositivo, raggiungendo funzioni interne e svolgendo operazioni non autorizzate.
SonicWall ha corretto il problema martedì. L’attività osservata da Previdian non dimostra però che i tentativi abbiano compromesso sistemi: il ricercatore Ryan Dewhurst segnala che non è stato ancora stabilito se gli attacchi rilevati siano riusciti.
Quali SMA1000 sono coinvolti
La vulnerabilità interessa i modelli SMA1000 6210, 7210 e 8200v, secondo quanto riportato nell’avviso di SonicWall. Restano invece fuori dal perimetro indicato la linea SMA 100 e il servizio SSL-VPN in esecuzione sui firewall SonicWall.
Il componente coinvolto è Appliance WorkPlace, un’interfaccia dei gateway di accesso remoto sicuro. Questi apparati vengono impiegati per l’accesso VPN ad applicazioni interne e reti aziendali, anche da fornitori di servizi gestiti, grandi imprese ed enti pubblici: un punto che spiega perché siano bersagli particolarmente esposti.
Come funzionano i tentativi rilevati
Previdian ha rilevato nella propria rete di honeypot richieste coerenti con lo sfruttamento di CVE-2026-102255. Nel dettaglio, gli attacchi prendevano di mira WorkPlace Extraweb con una richiesta OPTIONS costruita per raggiungere il servizio CouchDB interno, in ascolto sull’indirizzo locale 127.0.0.1:5984.
Il payload provava poi a raggiungere un design document di CouchDB e a richiamarne la funzione _rewrite, includendo un’intestazione HTTP Basic Authorization con le credenziali admin:admin. Si tratta di elementi tecnici utili a descrivere l’attività intercettata, non della prova che l’accesso sia andato a buon fine.
La tecnica segnalata sarebbe diversa da quella associata ad altre vulnerabilità SSRF di WorkPlace divulgate a luglio e settembre 2026.
Un’esposizione da non sottovalutare
Shadowserver monitora oltre 400 appliance SMA1000 esposte online. Il dato non permette di sapere quante siano honeypot o già aggiornate contro questa vulnerabilità, ma fotografa una superficie d’attacco ancora presente su Internet.
Il contesto è rilevante anche per i precedenti. A luglio, due zero-day SMA1000, CVE-2026-15409 e CVE-2026-15410, sono state sfruttate per settimane per installare i malware Sou5, OrangeTail e RootRun su appliance VPN vulnerabili. CISA ha successivamente collegato parte di quelle campagne a gruppi ransomware.
Il mese scorso SonicWall aveva inoltre avvertito di attacchi che concatenavano due ulteriori zero-day, CVE-2026-83548 e CVE-2026-83549, per ottenere esecuzione di codice remoto sui gateway SMA1000. Negli ultimi quattro anni CISA ha inserito 19 vulnerabilità SonicWall nel proprio catalogo dei difetti sfruttati attivamente, 13 delle quali associate a gruppi ransomware.
FAQ
Quali prodotti SonicWall non sono interessati?
Secondo le informazioni riportate, la linea SMA 100 e SSL-VPN sui firewall SonicWall non sono coinvolti da CVE-2026-102255. La falla riguarda invece SMA1000 6210, 7210 e 8200v attraverso Appliance WorkPlace.
La vulnerabilità è confermata come sfruttata con successo?
No. Previdian ha osservato tentativi compatibili con lo sfruttamento della falla, ma non ha ancora accertato se abbiano portato alla compromissione di sistemi.
Perché i gateway SMA1000 sono un obiettivo sensibile?
Sono gateway di accesso remoto usati per raggiungere applicazioni interne e reti aziendali tramite VPN. Per questo possono interessare attori che puntano a ottenere un punto d’ingresso in infrastrutture organizzative.
Considerazioni finali
La parte più seria della vicenda è la rapidità con cui sono comparsi tentativi di attacco dopo la correzione della falla. Anche senza conferme di compromissioni riuscite, l’attività osservata su un’interfaccia esposta e destinata all’accesso remoto merita attenzione concreta.
I precedenti recenti sugli SMA1000 impediscono di trattare questo caso come un avviso isolato: il punto decisivo è che la correzione riguarda gateway impiegati per collegare reti e applicazioni interne, mentre sono già stati rilevati tentativi coerenti con CVE-2026-102255.