SonicWall confirmou que duas vulnerabilidades zero-day críticas em seus dispositivos da série SMA 1000 foram ativamente exploradas pelo grupo de ransomware INC por 22 dias antes que uma correção estivesse disponível. As falhas, rastreadas como CVE-2026-15409 e CVE-2026-15410, receberam a pontuação máxima de gravidade CVSS de 10,0, marcando um dos eventos de vulnerabilidade de acesso remoto mais graves a atingir a infraestrutura de VPN corporativa este ano.

Para organizações que dependem dos dispositivos Secure Mobile Access da SonicWall para fornecer aos funcionários acesso remoto criptografado às redes internas, este incidente é um lembrete de quanta confiança é depositada em um único equipamento de borda e quão custoso pode ser quando essa confiança é mal colocada.

O Que Aconteceu com os Zero-Days do SonicWall SMA 1000

Os dispositivos SMA 1000 ficam no perímetro das redes corporativas, autenticando usuários remotos e roteando seu tráfego para sistemas internos. Essa posição os torna um alvo extremamente atraente: uma exploração bem-sucedida não compromete apenas um único dispositivo, pode dar aos invasores uma posição em toda a infraestrutura de uma organização.

CVE-2026-15409 e CVE-2026-15410 deram aos invasores exatamente esse tipo de acesso. Ambas as vulnerabilidades têm uma pontuação CVSS de 10,0, a classificação mais alta possível, que reflete falhas exploráveis remotamente, que exigem pouca ou nenhuma autenticação e podem levar ao comprometimento total. Relatórios anteriores sobre este evento, incluindo a cobertura de zero-days do SonicWall SMA explorados para implantar malware personalizado, descreveram como os invasores não estavam simplesmente invadindo esses dispositivos, estavam usando o acesso para plantar ferramentas maliciosas persistentes projetadas especificamente para os dispositivos comprometidos.

De acordo com o rastreamento relacionado desta campanha, a atividade de exploração foi rastreada até 22 de junho, bem antes de a SonicWall ou a comunidade de segurança identificar publicamente o problema. Um relatório separado sobre os zero-days do SonicWall SMA ativos desde 22 de junho apresentou a linha do tempo mostrando por quanto tempo as falhas estavam sendo usadas antes que a detecção alcançasse os invasores.

O Ransomware INC e a Janela de Exploração de 22 Dias

O que diferencia este incidente de uma divulgação de vulnerabilidade rotineira é o vínculo direto com o grupo de ransomware INC. O INC usou as falhas por 22 dias completos antes de a SonicWall lançar uma correção, dando ao grupo uma pista de decolagem prolongada para identificar alvos, obter acesso e se mover lateralmente dentro das redes afetadas. Em operações de ransomware, o tempo de permanência (o período entre o acesso inicial e o momento em que os defensores percebem) geralmente é a diferença entre um incidente contido e um evento de criptografia de rede em grande escala.

Uma vantagem inicial de 22 dias é significativa. É tempo suficiente para um grupo bem equipado mapear a rede de um alvo, localizar dados valiosos e estabelecer pontos de acesso de backup caso a vulnerabilidade original seja corrigida. Esse padrão ecoa atividades anteriores do ator de ameaça rastreado como UTA0533, detalhado em relatórios sobre hackers UTA0533 explorando zero-days do SonicWall SMA, que mostraram que a linha SMA da SonicWall tem sido um alvo repetido de invasores sofisticados por um período prolongado, não um evento isolado.

A própria orientação urgente da SonicWall, abordada em zero-days do SonicWall SMA1000 sob ataque ativo: corrija agora, ressaltou a urgência enfrentada pelos administradores assim que as vulnerabilidades se tornaram públicas. A empresa pressionou os clientes fortemente para a correção imediata, um sinal de quão grave foi a avaliação interna dessas falhas.

Os Riscos de Privacidade para Usuários de Acesso Remoto

Além do ângulo do ransomware, há uma dimensão de privacidade mais silenciosa, mas igualmente importante nesta história. Os dispositivos SMA lidam com as credenciais, tokens de sessão e tráfego de cada funcionário remoto que se conecta por meio deles. Uma falha CVSS 10,0 nessa camada significa que os invasores potencialmente tiveram visibilidade dos dados de autenticação e dos padrões de tráfego interno por semanas, não apenas a capacidade de implantar cargas de ransomware.

Para funcionários e contratados que se conectam remotamente para o trabalho, esse tipo de comprometimento do dispositivo de borda pode expor credenciais de login pessoais, dados de sessão e comunicações potencialmente confidenciais que passam pelo dispositivo, mesmo que a implantação do ransomware em si tenha sido o resultado mais visível. Isso também não é exclusivo da SonicWall; uma exposição semelhante foi vista recentemente com o zero-day do Check Point SmartConsole explorado em ataques, reforçando que as ferramentas de segurança de perímetro de todos os fornecedores continuam sendo alvos de alto valor exatamente por causa dos dados sensíveis à privacidade que fluem por elas.

O Que Isso Significa Para Você

Se sua organização executa dispositivos SonicWall SMA 1000, a prioridade imediata é confirmar se a correção que aborda CVE-2026-15409 e CVE-2026-15410 foi aplicada. Dada a janela de exploração de 22 dias antes da chegada da correção, também vale a pena tratar qualquer implantação de SMA 1000 como potencialmente comprometida durante esse período e revisar os logs em busca de atividades de autenticação incomuns ou conexões de saída inesperadas.

Mesmo que você não seja diretamente responsável pelo gerenciamento desses dispositivos, se seu empregador usa ferramentas de acesso remoto da SonicWall, é razoável perguntar às equipes de TI ou segurança se a correção foi implantada e se algum indicador de comprometimento foi encontrado. Os usuários individuais não podem corrigir dispositivos corporativos por conta própria, mas alterar as senhas de VPN e acesso remoto após um incidente confirmado como este é uma precaução sensata.

Principais Conclusões

Este evento zero-day do SonicWall SMA 1000 demonstra como um único dispositivo de perímetro pode se tornar o ponto de entrada para uma operação de ransomware com semanas de acesso não detectado. Uma classificação CVSS 10,0 em dois CVEs separados, combinada com a exploração confirmada pelo ransomware INC durante 22 dias, torna este um dos eventos de segurança de acesso remoto mais graves do ano. As organizações devem verificar se as correções foram aplicadas, auditar sinais de comprometimento que remontam à janela de exploração e tratar dispositivos de perímetro como o SMA 1000 como alvos de alto valor que exigem o mesmo escrutínio que qualquer sistema crítico voltado para a Internet. Manter-se atualizado sobre os comunicados dos fornecedores e aplicar correções rapidamente continua sendo a defesa mais eficaz contra o próximo zero-day que inevitavelmente seguirá este.