15
Jul 2026
Alerta de Vulnerabilidade - SonicWall SMA 1000 Series
SISTEMAS AFETADOS
SonicWall
| CVSS v3.1 - Resumo Técnico |
|
CVE-2026-15409 - Server-Side Request Forgery (SSRF) 10.0 / 10 - Crítico
|
| Vetor |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Vetor de Ataque |
Rede |
Exploração remota via rede |
| Complexidade |
Baixa |
Fácil de explorar |
| Requisitos de Ataque |
Nenhum |
Sem pré-condições adicionais para exploração |
| Privilégios |
Nenhum |
Sem autenticação |
| Interação |
Nenhuma |
Não requer intervenção do utilizador |
Impacto no sistema vulnerável
(C/I/A) |
Alta / Alta / Alta |
Impacto elevado na confidencialidade, integridade e disponibilidade |
Impacto em sistemas subsequentes
(C/I/A) |
Alta / Alta / Alta |
O impacto pode ultrapassar o âmbito do sistema vulnerável |
| Resumo |
Vulnerabilidade crítica (CVSS 10.0) de Server-Side Request Forgery (SSRF) na interface Work Place do SonicWall SMA 1000. Um atacante remoto e não autenticado pode explorar a vulnerabilidade para fazer com que o equipamento envie pedidos para localizações não pretendidas. A exploração não requer autenticação nem interação do utilizador e pode causar um impacto elevado na confidencialidade, integridade e disponibilidade. |
|
CVE-2026-15410 - Injeção de Código 7.2 / 10 - Alto
|
| Vetor |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| Vetor de Ataque |
Rede |
Exploração remota via rede |
| Complexidade |
Baixa |
Fácil de explorar após autenticação |
| Requisitos de Ataque |
Condições específicas |
A exploração depende de condições específicas no AMC |
| Privilégios |
Elevados |
Requer autenticação como administrador |
| Interação |
Nenhuma |
Não requer intervenção adicional do utilizador |
Impacto no sistema vulnerável
(C/I/A) |
Alta / Alta / Alta |
Comprometimento total da confidencialidade, integridade e disponibilidade |
Impacto em sistemas subsequentes
(C/I/A) |
Nenhum / Nenhum / Nenhum |
O impacto permanece no âmbito do sistema vulnerável |
| Resumo |
Vulnerabilidade de gravidade alta (CVSS 7.2) de controlo impróprio da geração de código na Appliance Management Console (AMC) do SonicWall SMA 1000. Um atacante remoto e autenticado como administrador pode, em condições específicas, explorar a vulnerabilidade para executar comandos arbitrários do sistema operativo. A exploração não requer interação adicional do utilizador e pode resultar no comprometimento total da confidencialidade, integridade e disponibilidade. |
| Resumo Conjunto |
As vulnerabilidades CVE-2026-15409 e CVE-2026-15410 afetam equipamentos SonicWall SMA 1000. A primeira permite que um atacante remoto e não autenticado provoque pedidos para localizações não pretendidas, enquanto a segunda pode permitir que um atacante remoto autenticado como administrador execute comandos arbitrários do sistema operativo. Ambas as vulnerabilidades foram confirmadas como estando a ser ativamente exploradas. |
Descrição
Foram identificadas duas vulnerabilidades nos appliances SonicWall Secure Mobile Access (SMA) 1000 Series, gateways de acesso remoto seguro (SSL VPN), exploradas em conjunto [1][2][3][4][5]:
- CVE-2026-15409/EUVD-2026-44404: vulnerabilidade de server-side request forgery (SSRF - CWE-918) na interface Appliance Work Place, que permite a um atacante remoto não autenticado forçar o appliance a efetuar pedidos para localizações não previstas [1][2][5][6];
- CVE-2026-15410/EUVD-2026-44410: vulnerabilidade de injeção de código pós-autenticação (CWE-94) na Appliance Management Console (AMC), que permite a um atacante remoto autenticado como administrador executar comandos arbitrários do sistema operativo em condições específicas [3][4][5][6].
São afetados os appliances SMA6210, SMA7210 e SMA8200v. As correções estão disponíveis nas versões (platform-hotfix) 12.4.3-03453 e 12.5.0-02835, ou superiores [5][6].
Impacto
As duas vulnerabilidades estão a ser exploradas em conjunto. O encadeamento da SSRF não autenticada (CVE-2026-15409) com a injeção de código pós-autenticação (CVE-2026-15410) permite a execução remota de código no appliance [1][5]. Tratando-se de um gateway de acesso remoto no perímetro da rede, o comprometimento permite acesso à rede interna, interceção de sessões VPN e utilização do appliance como ponto de apoio para intrusão adicional.
Ambas as vulnerabilidades encontram-se sob exploração ativa como zero-day. A SonicWall confirmou a investigação de múltiplos casos de exploração em ambiente real e notificou os clientes afetados antes da publicação do advisory [5][6].
Resolução
Recomenda-se a atualização imediata para as versões 12.4.3-03453 ou 12.5.0-02835, ou superiores [5][6].
A aplicação da correção não é suficiente. A SonicWall recomenda expressamente a realização de uma análise forense ao sistema para detetar indicadores de comprometimento (IOCs) [5][6].
Caso sejam detetados indicadores de compromisso, recomenda-se:
- Recriar a imagem do appliance (hardware) ou reinstalar o appliance (virtual);
- Alterar as palavras-passe de todos os utilizadores e administradores;
- Repor os tokens TOTP [5].
Medidas adicionais recomendadas:
- Restringir o acesso às interfaces de gestão a redes de confiança
- Rever os logs do appliance quanto a pedidos anómalos originados pela interface Appliance Work Place e a execução de comandos não previstos na Appliance Management Console (AMC).
Referências
[1] -
https://nvd.nist.gov/vuln/detail/CVE-2026-15409[2] -
https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-44404[3] -
https://nvd.nist.gov/vuln/detail/CVE-2026-15410[4] -
https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-44410[5] -
https://www.helpnetsecurity.com/2026/07/14/sonicwall-sma-attacks-via-cve-2026-15409-cve-2026-15410/[6] -
https://thehackernews.com/2026/07/two-sonicwall-sma-1000-zero-days.html
