发生了什么
2026 年 10 月 6 日,SonicWall 修复了远程访问网关 SMA1000 的四个漏洞。最严重的 CVE-2026-102255 评分 CVSS 10.0,是登录门户 Appliance Work Place 中 无需认证的 SSRF(服务器端请求伪造)。当时 SonicWall 称未发现利用证据。
三天后的 10 月 9 日,Previdian 创始人 Ryan Dewhurst 告诉 BleepingComputer,其蜜罐检测到与该漏洞相符的 利用尝试。据 ctipilot,9 日至 10 日间有 来自两个地址的 135 次尝试。
状态: 已观察到攻击尝试,但截至 10 月 10 日 尚无确认的入侵,CISA 也未将其列入 KEV。
攻击方式
观察到的请求向 Extraweb 接口发送 OPTIONS,试图访问 内部 CouchDB(127.0.0.1:5984) 并用 admin:admin 调用 _rewrite。Suzu Labs CTO Denis Calderone 对 SC Media 表示,9 月攻击链已有 公开的 Metasploit 模块,可将 CouchDB 访问转化为 root 级代码执行。
2026 年第三次
7 月(CVE-2026-15409/15410,植入恶意软件并与勒索软件相关)、9 月(CVE-2026-83548/83549 远程代码执行链),以及 10 月。Calderone 称 9 月的修复固件正是受影响版本,9 月打过补丁的设备再次暴露。
受影响设备
SMA 6210、7210 和 8200v;SMA 100 系列和防火墙 SSL-VPN 不受影响。Shadowserver 追踪到 400 多台 暴露的 SMA1000。
立即行动
- 升级到 12.4.3-03670 或 12.5.0-03082(无临时缓解措施)
- 安排维护窗口: 设备会重启并断开所有 VPN 会话,不要通过 VPN 本身升级
- 限制管理界面暴露
- 官方未发布 IOC,请 排查 内部 CouchDB 异常访问和异常登录
- 如使用 MSP,今天就确认
- 九个月三个满分漏洞,值得考虑 零信任网络访问(ZTNA)
来源
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
在使用 SonicWall VPN 或其他远程访问网关吗?KGA IT 提供免费咨询:kga-it.com