SonicWall потвърди, че две критични zero-day уязвимости в устройствата от серията SMA 1000 са били активно експлоатирани от групата за рансъмуер INC в продължение на 22 дни, преди да стане наличен пач. Недостатъците, проследени като CVE-2026-15409 и CVE-2026-15410, получиха максималната оценка за сериозност по CVSS от 10.0, което ги прави едно от най-сериозните събития с уязвимости в отдалечен достъп, засегнали корпоративна VPN инфраструктура тази година.

За организациите, които разчитат на устройствата Secure Mobile Access на SonicWall, за да осигурят на служителите криптиран отдалечен достъп до вътрешни мрежи, този инцидент е напомняне колко много доверие се влага в едно единствено крайно хардуерно устройство и колко скъпо може да струва, когато това доверие е погрешно.

Какво се случи с Zero-Day уязвимостите в SonicWall SMA 1000

Устройствата SMA 1000 се намират на периметъра на корпоративните мрежи, като удостоверяват отдалечени потребители и насочват трафика им към вътрешни системи. Тази позиция ги прави изключително привлекателна цел: успешен експлойт не компрометира само едно устройство, а може да даде на атакуващите опорна точка в цялата инфраструктура на организацията.

CVE-2026-15409 и CVE-2026-15410 дадоха на атакуващите точно този вид достъп. И двете уязвимости имат CVSS оценка от 10.0 — най-високият възможен рейтинг, който отразява недостатъци, които са експлоатируеми от разстояние, изискват малко или никакво удостоверяване и могат да доведат до пълно компрометиране. По-ранни репортажи за това събитие, включително отразяването на SonicWall SMA zero-day уязвимости, експлоатирани за внедряване на персонализиран зловреден софтуер, описаха как атакуващите не просто проникваха в тези устройства, а използваха достъпа, за да инсталират устойчиви злонамерени инструменти, проектирани специално за компрометираните устройства.

Според свързано проследяване на тази кампания, експлоатационната активност е проследена до 22 юни — много преди SonicWall или общността по сигурността публично да идентифицират проблема. Отделен доклад за SonicWall SMA zero-day уязвимости, активни от 22 юни изложи хронологията, показваща колко дълго недостатъците са били използвани в реални условия, преди защитниците да настигнат атакуващите.

INC Ransomware и 22-дневният прозорец за експлоатация

Това, което отличава този инцидент от рутинно оповестяване на уязвимост, е пряката връзка с групата за рансъмуер INC. INC използва недостатъците в продължение на цели 22 дни, преди SonicWall да издаде поправка, което даде на групата удължен период да идентифицира цели, да получи достъп и да се придвижва странично в засегнатите мрежи. При операции с рансъмуер времето на пребиваване (периодът между първоначалния достъп и момента, в който защитниците забележат) често е разликата между ограничен инцидент и пълномащабно криптиране на мрежата.

Преднина от 22 дни е значителна. Това е достатъчно време за добре ресурсно осигурена група да картографира мрежата на целта, да локализира ценни данни и да установи резервни точки за достъп, в случай че оригиналната уязвимост бъде пачната. Този модел напомня по-ранна активност от заплахата, проследена като UTA0533, описана подробно в репортаж за UTA0533 хакери, експлоатиращи SonicWall SMA zero-day уязвимости, която показа, че продуктовата линия SMA на SonicWall е била многократна цел за напреднали атакуващи за продължителен период, а не еднократно събитие.

Спешното указание на самия SonicWall, отразено в SonicWall SMA1000 zero-day уязвимости под активна атака: пачнете сега, подчерта неотложността, пред която са изправени администраторите, след като уязвимостите станаха публични. Компанията силно настоя клиентите да се насочат към незабавно пачване — сигнал за това колко сериозна е била вътрешната оценка на тези недостатъци.

Залозите за поверителността на потребителите с отдалечен достъп

Отвъд аспекта с рансъмуера има по-тихо, но също толкова важно измерение на поверителността в тази история. Устройствата SMA обработват идентификационните данни, сесийните токени и трафика на всеки отдалечен служител, който се свързва през тях. Недостатък с CVSS 10.0 на това ниво означава, че атакуващите потенциално са имали видимост към данни за удостоверяване и модели на вътрешен трафик в продължение на седмици, а не само способността да внедряват полезни товари за рансъмуер.

За служителите и контракторите, които се свързват от разстояние за работа, този вид компрометиране на крайно устройство може да изложи лични идентификационни данни за вход, сесийни данни и потенциално чувствителни комуникации, които преминават през устройството, дори ако самото внедряване на рансъмуер е било по-видимият резултат. Това не е уникално само за SonicWall; подобно излагане на риск беше наблюдавано наскоро с Check Point SmartConsole zero-day, експлоатирана в атаки, което затвърждава, че инструментите за периметрова сигурност при всички доставчици остават високостойностни цели именно заради чувствителните към поверителността данни, преминаващи през тях.

Какво означава това за вас

Ако вашата организация използва устройства SonicWall SMA 1000, непосредственият приоритет е да потвърдите, че пачът, адресиращ CVE-2026-15409 и CVE-2026-15410, е приложен. Предвид 22-дневния прозорец за експлоатация преди пристигането на поправката, също така си струва всяко внедряване на SMA 1000 да се третира като потенциално компрометирано през този период и да се прегледат логовете за необичайна активност при удостоверяване или неочаквани изходящи връзки.

Дори ако не носите пряка отговорност за управлението на тези устройства, ако вашият работодател използва инструменти за отдалечен достъп на SonicWall, е разумно да попитате ИТ екипа или екипа по сигурност дали пачът е внедрен и дали са открити индикатори за компрометиране. Отделните потребители не могат сами да пачнат корпоративни устройства, но смяната на паролите за VPN и отдалечен достъп след потвърден инцидент като този е разумна предпазна мярка.

Ключови изводи

Това събитие с zero-day в SonicWall SMA 1000 демонстрира как едно-единствено периметрово устройство може да се превърне във входна точка за операция с рансъмуер със седмици неоткрит достъп. Оценка CVSS 10.0 по два отделни CVE-та, комбинирана с потвърдена експлоатация от INC ransomware в продължение на 22 дни, прави това едно от по-сериозните събития в сигурността на отдалечения достъп за годината. Организациите трябва да проверят дали пачовете са приложени, да одитират за признаци на компрометиране, датиращи от прозореца на експлоатация, и да третират периметрови устройства като SMA 1000 като високостойностни цели, изискващи същото внимание като всяка интернет-изложена критична система. Да сте в крак с препоръките на доставчиците и бързото прилагане на пачове остава най-ефективната защита срещу следващата zero-day уязвимост, която неизбежно следва тази.