Chuyện gì đã xảy ra
Ngày 6/10/2026, SonicWall vá bốn lỗ hổng trên cổng truy cập từ xa SMA1000. Nghiêm trọng nhất là CVE-2026-102255, CVSS 10,0: SSRF không cần xác thực trong giao diện Appliance Work Place. Khi đó SonicWall nói chưa có bằng chứng bị khai thác.
Ngày 9/10, nhà sáng lập Previdian Ryan Dewhurst nói với BleepingComputer rằng honeypot của họ phát hiện các nỗ lực khai thác; theo ctipilot có 135 lần thử từ hai địa chỉ trong 9–10/10.
Tình trạng: đã thấy nỗ lực tấn công nhưng chưa xác nhận bị xâm nhập tính đến 10/10; chưa có trong KEV của CISA.
Cách tấn công
Yêu cầu OPTIONS tới giao diện Extraweb nhằm chạm tới CouchDB nội bộ (127.0.0.1:5984) và gọi _rewrite với admin:admin. Denis Calderone (Suzu Labs) nói với SC Media đã có module Metasploit công khai từ chuỗi tấn công tháng 9 biến quyền truy cập CouchDB thành thực thi mã quyền root.
Lần thứ ba trong 2026
Tháng 7 (CVE-2026-15409/15410), tháng 9 (CVE-2026-83548/83549) và nay tháng 10. Theo Calderone, chính firmware tháng 9 là bản bị ảnh hưởng.
Thiết bị bị ảnh hưởng
SMA 6210, 7210 và 8200v; không gồm dòng SMA 100 hay SSL-VPN trên tường lửa. Shadowserver theo dõi hơn 400 SMA1000 lộ ra internet.
Việc cần làm ngay
- Cập nhật lên 12.4.3-03670 hoặc 12.5.0-03082; không có cách tạm thời.
- Lên lịch bảo trì: thiết bị khởi động lại và ngắt mọi phiên VPN.
- Hạn chế giao diện quản trị.
- Truy tìm truy cập bất thường vào CouchDB nội bộ.
- Hỏi MSP ngay hôm nay.
- Cân nhắc ZTNA.
Nguồn
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
Bạn dùng VPN SonicWall hay cổng truy cập từ xa khác? KGA IT cung cấp tư vấn miễn phí: kga-it.com.