O que aconteceu
Em 6 de outubro de 2026, a SonicWall publicou correções para quatro falhas nos gateways de acesso remoto SMA1000. A mais grave, CVE-2026-102255, tem CVSS 10,0: é um SSRF (falsificação de requisição do lado do servidor) sem autenticação na interface Appliance Work Place, o portal onde os usuários fazem login. Na época, a SonicWall disse não ter evidências de exploração.
Três dias depois, em 9 de outubro, Ryan Dewhurst, fundador da Previdian, disse ao BleepingComputer que os honeypots da empresa detectaram tentativas de exploração compatíveis com a falha. Segundo o ctipilot, a Previdian contou 135 tentativas vindas de dois endereços entre 9 e 10 de outubro.
Status: há tentativas de ataque observadas, mas nenhum comprometimento confirmado até 10 de outubro. O aviso da SonicWall ainda dizia não haver evidência de exploração, e a CISA não tinha incluído a falha no KEV.
Como o ataque funciona
Com SSRF, o atacante "usa" o próprio aparelho como mensageiro para alcançar serviços internos que não deveriam ser acessíveis de fora. As requisições observadas mandavam um OPTIONS para a interface Extraweb, tentando chegar ao CouchDB interno (127.0.0.1:5984) e chamar a função _rewrite com a credencial admin:admin.
Denis Calderone, CTO da Suzu Labs, ouvido pela SC Media, lembra que já existe um módulo público do Metasploit da cadeia de setembro mostrando como transformar acesso ao CouchDB em execução de código como root, e que a arquitetura interna não mudou.
Terceira vez em 2026
É a terceira falha CVSS 10 de SSRF pré-autenticação na interface Work Place em nove meses:
- Julho: zero-days CVE-2026-15409 e 15410 explorados para instalar malware (Sou5, OrangeTail, RootRun); a CISA ligou intrusões a operadores de ransomware.
- Setembro: cadeia CVE-2026-83548 e 83549 para execução remota de código.
- Outubro: CVE-2026-102255. Segundo Calderone, o firmware de setembro é justamente o vulnerável: quem corrigiu em setembro está exposto de novo.
Quem é afetado
Modelos SMA 6210, 7210 e 8200v. Não afeta a série SMA 100 nem o SSL-VPN dos firewalls SonicWall. A Shadowserver acompanha mais de 400 SMA1000 expostos (número que pode incluir honeypots e aparelhos já corrigidos).
O que fazer agora
- Atualize para 12.4.3-03670 ou 12.5.0-03082. Não há contorno.
- Planeje uma janela: o aparelho reinicia e derruba todas as sessões VPN. Não aplique pela própria VPN.
- Restrinja a exposição da interface de gerenciamento.
- Procure sinais de acessos anômalos ao CouchDB interno e logins incomuns, já que a SonicWall não publicou indicadores de comprometimento.
- Se você tem um MSP, pergunte hoje se os seus SMA1000 já foram atualizados.
- Reavalie a estratégia: três falhas máximas em nove meses justificam pensar em alternativas como Zero Trust Network Access.
Fontes
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
Usa VPN SonicWall ou outro gateway de acesso remoto? A KGA IT oferece uma consulta gratuita: kga-it.com.