Quante appliance VPN, messe li per proteggere l'accesso remoto, vengono ancora aggiornate sul serio dopo il primo giorno? La domanda torna utile adesso, perche SonicWall ha confermato che due vulnerabilita nelle sue appliance SMA1000 sono gia sfruttate in attacchi reali.
Cosa e successo
Le falle sono due. CVE-2026-15409 e un SSRF non autenticato nell'interfaccia Appliance Work Place, con punteggio CVSS 10 su 10: il massimo. CVE-2026-15410 e un'iniezione di comandi di sistema nella console di gestione, sfruttabile da chi e gia autenticato come amministratore, e pesa 7,2. Prese singolarmente sembrano due problemi distinti. Il punto e che gli attaccanti le usano insieme.
SSRF vuol dire costringere l'appliance a fare richieste che non dovrebbe, verso destinazioni scelte dall'attaccante. L'iniezione di comandi vuol dire eseguire comandi sul sistema operativo del dispositivo. Concatenate, permettono a chi non ha credenziali di arrivare all'esecuzione di codice sull'apparato. Nei casi analizzati gli aggressori hanno poi installato malware su misura per mantenere l'accesso. La scoperta parte dal team di risposta agli incidenti di Rapid7; Volexity ha collaborato con SonicWall alle indagini.
Chi e coinvolto e cosa fare
Riguarda i modelli SMA1000 6210, 7210 e 8200v. Non sono toccati gli SMA100 ne la SSL-VPN dei firewall SonicWall. Al momento della segnalazione risultavano circa 400 appliance SMA1000 esposte online. Le correzioni sono nelle release hotfix 12.4.3-03453 e 12.5.0-02835, o successive: conviene verificare qual e l'ultima disponibile per il proprio ramo e installarla, senza aspettare la finestra di manutenzione comoda.
Aggiornare pero non chiude la partita se il dispositivo e gia stato colpito. SonicWall indica di re-inizializzare l'appliance in caso di segni di compromissione, cambiare tutte le password di utenti e amministratori e rigenerare i token TOTP. Vale la pena rileggere i log di accesso e le connessioni in uscita anomale nel periodo precedente alla patch, e verificare se la console di gestione e davvero raggiungibile solo dalla rete interna.
💬 Il mio commento
Le appliance per l'accesso remoto sono un bersaglio comodo per una ragione semplice: stanno esposte su Internet per definizione, e spesso dopo l'installazione non le guarda piu nessuno. Nelle aziende che seguo il punto debole quasi mai e il firewall nuovo di zecca; e il concentratore VPN comprato qualche anno fa, quello che funziona e quindi non si tocca, fino a quando non esce un avviso come questo. Mi rendo conto che aggiornare un apparato perimetrale in fretta mette ansia, perche se qualcosa va storto resti senza accesso: proprio per questo servirebbe un calendario di patch deciso prima, non nell'emergenza.
Una cosa su cui non mi sbilancio e quanto sia diffusa la compromissione reale: gli indicatori pubblici sono ancora pochi e la finestra di sfruttamento come zero-day potrebbe essere piu lunga di quello che sappiamo. Per questo, secondo me, se avete una SMA1000 la domanda giusta non e solo se avete applicato l'hotfix, ma se qualcuno e entrato prima. Se usate una di queste appliance e non riuscite a dire con certezza se e stata toccata prima dell'aggiornamento, posso aiutarvi a verificarlo e a rimettere in sicurezza gli accessi.