SonicWall SMA1000 sıfırıncı günleri, açıklanmadan haftalar önce özel zararlı yazılım için kullanılmış
Volexity, UTA0533 olarak izlediği grubun CVE-2026-15409 ve CVE-2026-15410 açıklarını en az 22 Haziran'dan beri kullandığını ve SMA1000 cihazlarına web shell ile tünelleme araçları yerleştirdiğini raporladı.
SonicWall'un Temmuz ortasında kapattığı iki SMA1000 açığının arka planı netleşti. Volexity'nin 17 Temmuz tarihli raporuna göre daha önce bilinmeyen ve UTA0533 olarak adlandırılan bir tehdit aktörü, açıkları üretici duyurusundan haftalar önce, en erken 22 Haziran 2026'da kullanmaya başlamıştı.
İki açık, tek zincir
CVE-2026-15409: Appliance Work Place arayüzünde kritik seviyede, kimlik doğrulamasız SSRF açığı.CVE-2026-15410: Yüksek önem derecesinde komut enjeksiyonu açığı.
Açıklar SMA1000 6210, 7210 ve 8200v cihazlarını etkiliyor. SonicWall düzeltmeleri 12.4.3-03453 ve 12.5.0-02835 hotfix sürümleriyle yayımladı. İki açık 14 Temmuz civarında CISA'nın KEV kataloğuna da eklendi.
Reklam
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Volexity ne gördü?
İncelenen iki ele geçirilmiş cihazda saldırganlar önce SSRF açığıyla cihazın iç servislerine kimlik doğrulamasız tüneller kurdu, ardından yönetim konsolundaki ikinci açıkla root yetkisinde komut çalıştırdı. Volexity, kampanyada kullanılan araçları şöyle sıraladı:
- KNUCKLEBALL: Diğer bileşenleri kuran yükleyici.
- Sou5: İç kaynaklara erişimi sürdürmek için kullanılan ters vekil (reverse proxy).
- ORANGETAIL: Şifreli Java yüklerini HTTP oturumları içinde çalıştıran web shell.
- ROOTRUN: Root yetkisinde komut çalıştırmaya yarayan yetki yükseltme aracı.
Saldırganlar web shell'i dışarıdan erişilebilir kılmak için cihazın nginx yapılandırmasını da değiştirdi. Volexity kampanyayı teknik açıdan gelişmiş bulmakla birlikte, aktörün kurbanların iç ağlarına yayılmada sınırlı başarı elde ettiğini belirtti.
Sonradan gelen gelişme
Eylül başında SonicWall, aynı cihaz ailesinde iki yeni sıfırıncı gün açığı (CVE-2026-83548, CVE-2026-83549) duyurdu ve Temmuz'daki hotfix sürümleri de etkilenen listesine girdi. Bu nedenle bu haberdeki sürümler artık son güvenli sürüm değil.
Ne yapılmalı?
- SMA1000 cihazlarını SonicWall'un yayımladığı en güncel hotfix'e yükseltin; Temmuz sürümünde kalmayın.
- SonicWall'un yayımladığı log ve dosya sistemi göstergeleriyle cihazları tarayın; yama tek başına sızmayı temizlemez.
- nginx yapılandırmasında beklenmeyen değişiklikleri ve cihazda tanımadığınız
.jardosyalarını kontrol edin. - Sızma bulgusunda cihazı yeniden kurun ve VPN kullanıcılarının kimlik bilgilerini yenileyin.
