무슨 일이 있었나
2026년 10월 6일 SonicWall은 원격 접속 게이트웨이 SMA1000의 취약점 4건을 패치했습니다. 가장 심각한 CVE-2026-102255는 CVSS 10.0으로, 로그인 포털인 Appliance Work Place의 인증 없는 SSRF입니다. 당시 SonicWall은 악용 증거가 없다고 했습니다.
사흘 뒤 10월 9일, Previdian 창업자 Ryan Dewhurst는 BleepingComputer에 허니팟이 이 취약점과 일치하는 악용 시도를 탐지했다고 밝혔습니다. ctipilot에 따르면 9~10일 두 개 주소에서 135회 시도가 있었습니다.
현황: 공격 시도는 확인됐지만 10월 10일 기준 침해는 확인되지 않았습니다. CISA KEV에도 아직 없습니다.
공격 방식
관측된 요청은 Extraweb 인터페이스에 OPTIONS를 보내 **내부 CouchDB(127.0.0.1:5984)**의 _rewrite를 admin:admin으로 호출하려 했습니다. Suzu Labs CTO Denis Calderone은 SC Media에 9월 공격 체인용 공개 Metasploit 모듈로 CouchDB 접근을 root 코드 실행으로 바꿀 수 있다고 말했습니다.
2026년 세 번째
7월(CVE-2026-15409/15410, 악성코드·랜섬웨어 연관), 9월(CVE-2026-83548/83549 RCE 체인), 그리고 10월. Calderone에 따르면 9월 패치 펌웨어가 바로 취약 버전이라 9월에 패치한 장비가 다시 노출됐습니다.
영향 대상
SMA 6210, 7210, 8200v. SMA 100 시리즈와 방화벽 SSL-VPN은 해당 없음. Shadowserver는 노출된 SMA1000 400대 이상을 추적합니다.
지금 할 일
- 12.4.3-03670 또는 12.5.0-03082로 업데이트(우회책 없음)
- 점검 시간 확보: 재부팅으로 VPN 세션이 끊기니 VPN을 통해 적용하지 마세요
- 관리 인터페이스 노출 제한
- 공식 IOC가 없으니 내부 CouchDB 이상 접근과 비정상 로그인 조사
- MSP 이용 시 오늘 확인
- 9개월 3건을 감안해 ZTNA 전환 검토
출처
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
SonicWall VPN 등 원격 접속 장비를 쓰시나요? KGA IT가 무료 상담을 제공합니다: kga-it.com