SonicWall telah mengonfirmasi bahwa dua kerentanan zero-day kritis pada perangkat seri SMA 1000-nya dieksploitasi secara aktif oleh grup ransomware INC selama 22 hari sebelum patch tersedia. Kerentanan, yang dilacak sebagai CVE-2026-15409 dan CVE-2026-15410, keduanya menerima skor keparahan CVSS maksimum 10,0, menandai salah satu peristiwa kerentanan akses jarak jauh paling serius yang menimpa infrastruktur VPN perusahaan tahun ini.

Bagi organisasi yang mengandalkan perangkat Secure Mobile Access SonicWall untuk memberi karyawan akses jarak jauh terenkripsi ke jaringan internal, insiden ini mengingatkan betapa besarnya kepercayaan yang ditempatkan pada satu perangkat keras tepi, dan betapa mahal akibatnya jika kepercayaan itu salah tempat.

Apa yang Terjadi dengan Zero-Day SonicWall SMA 1000

Perangkat SMA 1000 berada di perimeter jaringan perusahaan, mengautentikasi pengguna jarak jauh dan merutekan lalu lintas mereka ke sistem internal. Posisi itu menjadikannya target yang sangat menarik: eksploitasi yang berhasil tidak hanya mengkompromikan satu perangkat, tetapi dapat memberi penyerang pijakan di seluruh infrastruktur organisasi.

CVE-2026-15409 dan CVE-2026-15410 memberi penyerang jenis akses seperti itu. Kedua kerentanan ini memiliki skor CVSS 10,0, peringkat tertinggi yang mungkin, yang mencerminkan kelemahan yang dapat dieksploitasi dari jarak jauh, memerlukan sedikit atau tanpa autentikasi, dan dapat menyebabkan kompromi total. Laporan sebelumnya tentang peristiwa ini, termasuk liputan mengenai zero-day SonicWall SMA dieksploitasi untuk menyebarkan malware kustom, menjelaskan bagaimana penyerang tidak sekadar membobol perangkat ini, mereka menggunakan akses tersebut untuk menanam alat berbahaya persisten yang dirancang khusus untuk perangkat yang dikompromikan.

Menurut pelacakan terkait kampanye ini, aktivitas eksploitasi dapat dilacak kembali ke 22 Juni, jauh sebelum SonicWall atau komunitas keamanan mengidentifikasi masalah ini secara publik. Laporan terpisah mengenai zero-day SonicWall SMA yang aktif sejak 22 Juni menyajikan kronologi yang menunjukkan berapa lama kelemahan ini digunakan di alam liar sebelum deteksi berhasil mengejar para penyerang.

Ransomware INC dan Jendela Eksploitasi 22 Hari

Yang membedakan insiden ini dari pengungkapan kerentanan rutin adalah kaitan langsungnya dengan grup ransomware INC. INC menggunakan kelemahan tersebut selama 22 hari penuh sebelum SonicWall menerbitkan perbaikan, memberi grup itu landasan yang panjang untuk mengidentifikasi target, mendapatkan akses, dan bergerak lateral di dalam jaringan yang terdampak. Dalam operasi ransomware, dwell time (periode antara akses awal dan saat pihak pertahanan menyadarinya) sering kali menjadi pembeda antara insiden yang dapat ditangani dan peristiwa enkripsi jaringan skala penuh.

Keunggulan waktu 22 hari sangat signifikan. Ini cukup bagi grup dengan sumber daya baik untuk memetakan jaringan target, menemukan data berharga, dan membuat titik akses cadangan jika kerentanan asli ditambal. Pola ini menggemakan aktivitas sebelumnya dari aktor ancaman yang dilacak sebagai UTA0533, yang dirinci dalam laporan tentang peretas UTA0533 mengeksploitasi zero-day SonicWall SMA, yang menunjukkan bahwa lini SMA SonicWall telah menjadi target berulang bagi penyerang canggih selama periode yang panjang, bukan peristiwa satu kali.

Panduan mendesak SonicWall sendiri, yang dibahas dalam zero-day SonicWall SMA1000 dalam serangan aktif: segera tambal, menekankan urgensi yang dihadapi administrator begitu kerentanan menjadi publik. Perusahaan mendorong pelanggan dengan keras untuk segera menambal, sebuah sinyal betapa parahnya penilaian internal terhadap kelemahan ini.

Taruhan Privasi bagi Pengguna Akses Jarak Jauh

Di luar sudut ransomware, ada dimensi privasi yang lebih senyap namun sama pentingnya dalam cerita ini. Perangkat SMA menangani kredensial, token sesi, dan lalu lintas setiap karyawan jarak jauh yang terhubung melalui mereka. Kelemahan CVSS 10,0 di lapisan ini berarti penyerang berpotensi memiliki visibilitas ke data autentikasi dan pola lalu lintas internal selama berminggu-minggu, bukan hanya kemampuan untuk menyebarkan muatan ransomware.

Bagi karyawan dan kontraktor yang terhubung dari jarak jauh untuk bekerja, kompromi perangkat tepi semacam ini dapat mengekspos kredensial login pribadi, data sesi, dan potensi komunikasi sensitif yang melewati perangkat, meskipun penyebaran ransomware itu sendiri merupakan hasil yang lebih terlihat. Ini juga tidak unik bagi SonicWall; paparan serupa baru-baru ini terlihat dengan zero-day Check Point SmartConsole yang dieksploitasi dalam serangan, menegaskan bahwa alat keamanan perimeter dari berbagai vendor tetap menjadi target bernilai tinggi justru karena data sensitif privasi yang mengalir melaluinya.

Apa Artinya Bagi Anda

Jika organisasi Anda menjalankan perangkat SonicWall SMA 1000, prioritas segera adalah mengonfirmasi bahwa patch yang menangani CVE-2026-15409 dan CVE-2026-15410 telah diterapkan. Mengingat jendela eksploitasi 22 hari sebelum perbaikan tiba, ada baiknya juga memperlakukan setiap penerapan SMA 1000 sebagai berpotensi dikompromikan selama periode tersebut dan meninjau log untuk aktivitas autentikasi yang tidak biasa atau koneksi keluar yang tidak terduga.

Bahkan jika Anda tidak bertanggung jawab langsung mengelola perangkat ini, jika perusahaan Anda menggunakan alat akses jarak jauh SonicWall, wajar untuk bertanya kepada tim IT atau keamanan apakah patch sudah diterapkan dan apakah ditemukan indikasi kompromi. Pengguna individu tidak dapat menambal perangkat perusahaan sendiri, tetapi mengganti kata sandi VPN dan akses jarak jauh setelah insiden terkonfirmasi seperti ini adalah tindakan pencegahan yang bijaksana.

Poin Penting

Peristiwa zero-day SonicWall SMA 1000 ini menunjukkan bagaimana satu perangkat perimeter dapat menjadi titik masuk untuk operasi ransomware dengan akses tidak terdeteksi selama berminggu-minggu. Skor CVSS 10,0 pada dua CVE terpisah, dikombinasikan dengan eksploitasi terkonfirmasi oleh ransomware INC selama 22 hari, menjadikan ini salah satu peristiwa keamanan akses jarak jauh yang lebih serius tahun ini. Organisasi harus memverifikasi bahwa patch telah diterapkan, mengaudit tanda-tanda kompromi yang berasal dari jendela eksploitasi, dan memperlakukan perangkat perimeter seperti SMA 1000 sebagai target bernilai tinggi yang memerlukan pengawasan yang sama seperti sistem penting yang menghadap internet. Tetap mengikuti saran vendor dan menerapkan patch dengan cepat tetap menjadi pertahanan paling efektif terhadap zero-day berikutnya yang pasti akan mengikuti yang satu ini.