SonicWall SMA1000 cihazlarında zincirlenen iki sıfırıncı gün açığı saldırılarda kullanıldı

SonicWall, kurumsal uzaktan erişim ağ geçidi SMA1000 serisinde iki açığın saldırganlar tarafından birlikte kullanıldığını 14 Temmuz 2026'da SNWLID-2026-0008 numaralı bildirimle duyurdu. CISA da her iki açığı aynı gün Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.

İki açık, tek saldırı zinciri

• CVE-2026-15409: SMA1000'in Appliance Work Place arayüzündeki kritik bir sunucu taraflı istek sahteciliği (SSRF) açığı. Kimliği doğrulanmamış uzak saldırganlarca istismar edilebiliyor ve Tenable'a göre CVSS 10.0 puan taşıyor.
• CVE-2026-15410: Appliance Management Console üzerindeki yüksek önem dereceli bir kod enjeksiyonu açığı. Tek başına yönetici kimlik doğrulaması gerektiriyor ve işletim sistemi komutu çalıştırmaya imkân veriyor.

Help Net Security'nin aktardığına göre şimdiye kadar gözlenen saldırılarda iki açık zincirleme kullanıldı. Etkilenen modeller SMA6210, SMA7210 ve SMA8200v. Açıkları SonicWall PSIRT'ten Adam Babis buldu; Volexity'den araştırmacılar da soruşturmaya ve gösterge listesinin genişletilmesine katkı verdi.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Saldırganlar ne yaptı?

Rapid7'nin yönetilen tespit ekibi, istismarın SonicWall'un resmî duyurusundan önce başladığını bildirdi. Rapid7'ye göre saldırganlar cihaza sessizce eriştikten sonra kimlik bilgilerini, aktif oturum veritabanlarını ve TOTP tabanlı çok faktörlü doğrulama tohum yapılandırmalarını ele geçirdi; ardından cihazın iç IP adresinden etki alanı denetleyicilerine VPN kullanmadan kimlik doğrulama girişimleri yaptı.

Sürümler

Bildirimde listelenen etkilenen platform hotfix sürümleri 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 ve 12.5.0-02800. Düzeltilmiş sürümler ise 12.4.3-03453 ve 12.5.0-02835. Geçici çözüm bulunmuyor.

Ne yapılmalı?

• SMA1000 cihazlarını hemen 12.4.3-03453 veya 12.5.0-02835 ya da üstüne yükseltin.
• Yalnızca yama yeterli değil: SonicWall'un paylaştığı göstergelere göre kayıtları inceleyin.
• Ele geçirilme bulgusu varsa fiziksel cihazı yeniden kurun (re-image), sanal cihazı yeniden dağıtın; tüm kullanıcı ve yönetici parolalarını değiştirin, TOTP tokenlarını sıfırlayın.
• Cihazın LDAP hizmet hesabıyla yapılan olağan dışı Active Directory oturumlarını araştırın.