Две уязвимости нулевого дня, объединённые в цепочку

Клиенты SonicWall столкнулись с новой угрозой безопасности после того, как исследователи подтвердили, что злоумышленники использовали две ранее неизвестные уязвимости в продуктах компании, объединив их в цепочку для получения более глубокого доступа к целевым сетям. Согласно отчёту, уязвимости активно эксплуатировались примерно три недели до того, как SonicWall раскрыла их и выпустила исправления, а это означает, что злоумышленники получили значительную фору перед защитниками.

Уязвимости нулевого дня опасны именно потому, что в момент их первого использования исправления ещё нет. Когда две уязвимости объединяются в цепочку, риск возрастает многократно: одна может обеспечить первоначальное проникновение, а вторая — повысить привилегии или полностью обойти средство защиты. Для организаций, полагающихся на межсетевые экраны SonicWall для защиты внутренних сетей, средств удалённого доступа и VPN-подключений, такая комбинация может превратиться в прямой путь из публичного интернета к конфиденциальным внутренним системам.

Повторяющиеся проблемы SonicWall

Это не единичный случай для поставщика. Ранее, в 2025 году, межсетевые экраны SonicWall подверглись волне массовой эксплуатации, которая, по словам исследователей, затронула около 20 организаций, причём темп атак ускорялся, пока специалисты по поиску угроз пытались понять масштаб. Совсем недавно SonicWall подтвердила отдельный инцидент безопасности с облачным порталом MySonicWall.com, в ходе которого злоумышленники получили доступ к файлам конфигурации межсетевых экранов клиентов и раскрыли их.

В совокупности эти события рисуют картину поставщика, чьи продукты периметровой безопасности и поддерживающие их облачные сервисы стали повторяющейся мишенью для квалифицированных злоумышленников. Межсетевые экраны находятся на периметре корпоративных и даже небольших сетей, что делает их особенно ценной целью: скомпрометировав один из них, злоумышленнику может не понадобиться взламывать что-либо ещё, чтобы добраться до внутренних данных.

Риски для конфиденциальности и утечки данных

Последствия для конфиденциальности выходят за рамки непосредственного проникновения в сеть. Устройства межсетевого экрана часто управляют VPN-туннелями, учётными данными для удалённого доступа и правилами маршрутизации трафика для всей организации. Если злоумышленники используют цепочку уязвимостей нулевого дня для получения административного контроля, они потенциально могут перехватывать трафик, собирать учётные данные или перемещаться в системы, где хранятся записи клиентов, данные сотрудников или конфиденциальная деловая информация.

Более раннее раскрытие файлов конфигурации межсетевых экранов через облачный портал SonicWall добавляет ещё один повод для беспокойства. Файлы конфигурации могут содержать сведения об архитектуре сети, правилах безопасности, а в некоторых случаях — учётные данные или ключевой материал. В чужих руках такая информация облегчает злоумышленникам планирование и проведение дальнейших вторжений, в том числе против организаций, которые не пострадали напрямую от первоначальной утечки. Для компаний и их клиентов это подчёркивает, как единичная ошибка безопасности поставщика может распространиться и привести к более широким рискам для конфиденциальности.

Что это значит для вас

Если ваша организация использует межсетевые экраны SonicWall или сопутствующие устройства, первоочередной задачей является проверка установки всех доступных исправлений для этих уязвимостей нулевого дня. Поскольку злоумышленники использовали эти недостатки до появления исправления, одного обновления может быть недостаточно; службам безопасности следует также проверить журналы на наличие признаков компрометации, предшествующих раскрытию.

Для рядовых пользователей и небольших компаний, у которых может не быть штатных специалистов по информационной безопасности, этот инцидент служит напоминанием: устройства, защищающие вашу сеть, сами являются ценными целями. Оборудование периметровой безопасности, включая межсетевые экраны и VPN-шлюзы, требует такого же внимания к обновлениям и мониторингу, как и любые другие критически важные системы. Откладывание обновления прошивки из-за неудобства может оставить известную, пригодную для эксплуатации брешь открытой гораздо дольше, чем необходимо.

Организациям, использующим облачные инструменты управления SonicWall, также следует воспользоваться этим моментом, чтобы пересмотреть права доступа к этим порталам, сменить учётные данные там, где это уместно, и убедиться, что конфигурационные данные не были изменены без разрешения.

Практические выводы

  • Убедитесь, что на всех затронутых устройствах установлены последние версии прошивки и исправления SonicWall, устраняющие эти объединённые в цепочку уязвимости нулевого дня.
  • Проанализируйте журналы сети и межсетевых экранов на предмет необычной активности за последние несколько недель, поскольку использование уязвимостей, по сообщениям, началось до публичного раскрытия.
  • Смените учётные данные и проверьте доступ ко всем учётным записям облачного управления SonicWall, особенно с учётом предыдущего раскрытия файлов конфигурации.
  • Рассматривайте устройства периметровой безопасности как приоритетные активы, а не только внутренние серверы; они требуют регулярного управления исправлениями и мониторинга.

Поскольку атаки нулевого дня на сетевое оборудование продолжают появляться, своевременное отслеживание рекомендаций поставщика и быстрое применение исправлений остаётся одним из наиболее эффективных способов ограничить подверженность риску. Следите за официальными сообщениями SonicWall и надёжными источниками информации по безопасности, чтобы быть в курсе развития ситуации.