SonicWall SMA1000'deki en yüksek önem dereceli SSRF açığı yamadan üç gün sonra hedef alındı

SonicWall'un Secure Mobile Access (SMA) 1000 serisi uzaktan erişim cihazları bu yıl bir kez daha saldırganların hedefinde. Üreticinin SNWLID-2026-0017 bildirimiyle kapattığı en yüksek önem derecesindeki CVE-2026-102255 açığına yönelik istismar girişimleri, yamanın yayımlanmasından yalnızca üç gün sonra tespit edildi.

Açık ne yapıyor?

CVE-2026-102255, SMA1000 6210, 7210 ve 8200v modellerindeki Appliance WorkPlace arayüzünde bulunan, kimlik doğrulaması gerektirmeyen bir sunucu taraflı istek sahteciliği (SSRF) açığı. SonicWall'a göre saldırgan, cihazı kendi adına istek göndermeye yönlendirip iç işlevlere ulaşabiliyor. Açık SMA 100 serisini ve SonicWall güvenlik duvarlarındaki SSL VPN'i etkilemiyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Bal küplerinde görülen trafik

BleepingComputer'ın aktardığına göre Previdian'ın kurucusu Ryan Dewhurst, şirketin bal küplerinde bu açıkla uyumlu istismar girişimleri gördüklerini açıkladı. İstekler WorkPlace arayüzünü hedef alıyor ve cihazın yalnızca yerelden erişilebilen iç veritabanı servisine ulaşmaya çalışıyordu. Defused da SMA tuzak sistemlerine yönelik kimlik doğrulamasız SSRF trafiği bildirdi.

Araştırmacılar girişimlerin başarılı olup olmadığını henüz doğrulamadı. Haber yayımlandığı sırada SonicWall bildiriminde açığı "aktif olarak istismar ediliyor" şeklinde işaretlemiş değildi. Shadowserver, internete açık 400'den fazla SMA1000 cihazı izliyor; bunların ne kadarının bal küpü ya da yamalı olduğu bilinmiyor.

Aynı ürüne üçüncü dalga

SMA1000, 2026'da sürekli hedef aldı. Temmuz'da CVE-2026-15409 ve CVE-2026-15410, Eylül başında ise CVE-2026-83548 ve CVE-2026-83549 sıfırıncı gün olarak kullanıldı. WorkPlace arayüzü bu dalgaların hepsinde SSRF açıklarıyla öne çıktı. CISA, son dört yılda 19 SonicWall açığını KEV kataloğuna eklemiş durumda.

Ne yapılmalı?

• SNWLID-2026-0017 bildirimindeki düzeltilmiş SMA1000 sürümlerini gecikmeden kurun.
• WorkPlace arayüzünün internete açıklığını mümkün olduğunca daraltın.
• Cihaz loglarında WorkPlace arayüzüne gelen olağan dışı istekleri ve iç servislere yönelen bağlantıları inceleyin.
• Önceki SMA1000 açıklarına ait düzeltmeleri de kurduğunuzu doğrulayın; bu yıl yayımlanan bazı hotfix sürümleri sonraki açıklarda yeniden etkilenen listesine girdi.