SonicWall SMA 1000 Zero-Day: La corsa di 22 giorni del ransomware INC

SonicWall ha confermato che due vulnerabilità zero-day critiche nei suoi appliance della serie SMA 1000 sono state attivamente sfruttate dal gruppo ransomware INC per 22 giorni prima che fosse disponibile una patch. Le vulnerabilità, tracciate come CVE-2026-15409 e CVE-2026-15410, hanno entrambe ricevuto il punteggio di gravità CVSS massimo di 10.0, segnando uno degli eventi più gravi di vulnerabilità di accesso remoto a colpire l'infrastruttura VPN aziendale quest'anno.

Per le organizzazioni che si affidano agli appliance Secure Mobile Access di SonicWall per offrire ai dipendenti l'accesso remoto crittografato alle reti interne, questo incidente ricorda quanta fiducia venga riposta in un singolo apparato hardware perimetrale, e quanto possa costare quando quella fiducia è mal riposta.

Cosa è successo con le zero-day di SonicWall SMA 1000

Gli appliance SMA 1000 si trovano al perimetro delle reti aziendali, autenticano gli utenti remoti e instradano il loro traffico verso i sistemi interni. Questa posizione li rende un bersaglio estremamente appetibile: un exploit riuscito non compromette solo un singolo dispositivo, ma può fornire agli aggressori un punto d'appoggio sull'intera infrastruttura di un'organizzazione.

CVE-2026-15409 e CVE-2026-15410 hanno dato agli aggressori esattamente quel tipo di accesso. Entrambe le vulnerabilità hanno un punteggio CVSS di 10.0, il più alto possibile, che riflette falle sfruttabili da remoto, che richiedono poca o nessuna autenticazione e possono portare a una compromissione completa. Precedenti report su questo evento, inclusa la copertura di zero-day SonicWall SMA sfruttati per distribuire malware personalizzato, hanno descritto come gli aggressori non si limitassero a irrompere in questi dispositivi, ma utilizzassero l'accesso per installare strumenti malevoli persistenti progettati specificamente per gli appliance compromessi.

Secondo il tracciamento correlato di questa campagna, l'attività di sfruttamento è stata fatta risalire al 22 giugno, ben prima che SonicWall o la comunità della sicurezza identificassero pubblicamente il problema. Un report separato sulle zero-day SonicWall SMA attive dal 22 giugno ha illustrato la cronologia che mostra per quanto tempo le vulnerabilità sono state utilizzate in ambienti reali prima che i difensori raggiungessero gli aggressori.

INC Ransomware e la finestra di sfruttamento di 22 giorni

Ciò che distingue questo incidente da una normale divulgazione di vulnerabilità è il collegamento diretto con il gruppo ransomware INC. INC ha utilizzato le falle per ben 22 giorni prima che SonicWall rilasciasse una correzione, dando al gruppo una lunga rampa di lancio per identificare bersagli, ottenere accesso e muoversi lateralmente all'interno delle reti colpite. Nelle operazioni ransomware, il tempo di permanenza (il periodo tra l'accesso iniziale e il momento in cui i difensori se ne accorgono) è spesso la differenza tra un incidente contenuto e un evento di cifratura dell'intera rete.

Un vantaggio di 22 giorni è significativo. È tempo sufficiente per un gruppo ben finanziato per mappare la rete di un bersaglio, individuare dati preziosi e creare punti di accesso di backup nel caso in cui la vulnerabilità originale venga corretta. Questo schema ricorda precedenti attività del threat actor tracciato come UTA0533, dettagliate nel report su gli hacker UTA0533 sfruttano le zero-day SonicWall SMA, che ha mostrato come la linea SMA di SonicWall sia stata un bersaglio ripetuto per attaccanti sofisticati per un periodo prolungato, non un evento isolato.

La stessa guida urgente di SonicWall, trattata in zero-day SonicWall SMA1000 sotto attacco attivo: patch immediata, ha sottolineato l'urgenza per gli amministratori una volta che le vulnerabilità sono diventate pubbliche. L'azienda ha spinto con forza i clienti verso l'applicazione immediata delle patch, un segnale di quanto fosse grave la valutazione interna di queste falle.

I rischi per la privacy degli utenti di accesso remoto

Oltre all'aspetto ransomware, c'è una dimensione più silenziosa ma altrettanto importante relativa alla privacy. Gli appliance SMA gestiscono le credenziali, i token di sessione e il traffico di ogni dipendente remoto che vi si connette. Una vulnerabilità CVSS 10.0 a questo livello significa che gli aggressori potrebbero aver avuto visibilità sui dati di autenticazione e sugli schemi di traffico interno per settimane, non solo la capacità di distribuire payload ransomware.

Per i dipendenti e i collaboratori che si connettono da remoto per lavoro, questo tipo di compromissione di un dispositivo perimetrale può esporre credenziali di accesso personali, dati di sessione e comunicazioni potenzialmente sensibili che transitano attraverso l'appliance, anche se l'implementazione del ransomware è stato l'esito più visibile. Questo non è esclusivo di SonicWall; un'esposizione simile è stata osservata di recente con la zero-day di Check Point SmartConsole sfruttata in attacchi, a conferma che gli strumenti di sicurezza perimetrale di tutti i fornitori rimangono bersagli di alto valore proprio per i dati sensibili per la privacy che vi transitano.

Cosa significa per te

Se la tua organizzazione utilizza appliance SonicWall SMA 1000, la priorità immediata è verificare che la patch che risolve CVE-2026-15409 e CVE-2026-15410 sia stata applicata. Data la finestra di sfruttamento di 22 giorni prima dell'arrivo della correzione, vale anche la pena trattare qualsiasi distribuzione SMA 1000 come potenzialmente compromessa durante quel periodo e analizzare i log per attività di autenticazione anomale o connessioni in uscita impreviste.

Anche se non sei direttamente responsabile della gestione di questi appliance, se il tuo datore di lavoro utilizza strumenti di accesso remoto SonicWall, è ragionevole chiedere ai team IT o di sicurezza se la patch è stata distribuita e se sono stati trovati indicatori di compromissione. I singoli utenti non possono applicare patch agli appliance aziendali, ma cambiare le password VPN e di accesso remoto dopo un incidente confermato come questo è una precauzione sensata.

Punti chiave

Questo evento zero-day di SonicWall SMA 1000 dimostra come un singolo dispositivo perimetrale possa diventare il punto d'ingresso per un'operazione ransomware con settimane di accesso non rilevato. Una valutazione CVSS 10.0 su due CVE distinte, combinata con lo sfruttamento confermato da parte del ransomware INC per 22 giorni, rende questo uno degli eventi di sicurezza dell'accesso remoto più gravi dell'anno. Le organizzazioni dovrebbero verificare che le patch siano applicate, controllare la presenza di segni di compromissione risalenti alla finestra di sfruttamento e trattare gli appliance perimetrali come SMA 1000 come bersagli di alto valore che richiedono lo stesso controllo di qualsiasi sistema critico esposto su Internet. Rimanere aggiornati sugli avvisi dei fornitori e applicare rapidamente le patch rimane la difesa più efficace contro il prossimo zero-day che inevitabilmente seguirà questo.