SonicWall SMA1000, falla da 10 su 10 attaccata due giorni dopo la patch

Il 6 ottobre 2026 SonicWall ha corretto la vulnerabilità CVE-2026-102255 dei suoi gateway di accesso remoto SMA1000, con gravità massima: 10 su 10. Due giorni dopo, l'8 ottobre, le trappole (honeypot) delle società di ricerca hanno registrato i primi tentativi di sfruttarla. Lo hanno riportato BleepingComputer il 9 ottobre e SecurityWeek il 12. Le versioni da installare sono la 12.4.3-03670 e la 12.5.0-03082, o successive.

Che cosa permette di fare la falla?

È una falla di tipo SSRF (server-side request forgery) nell'interfaccia Work Place, quella da cui gli utenti accedono alle risorse aziendali. In pratica, come la descrive SonicWall, un attaccante non autenticato può far eseguire all'apparato richieste per suo conto, raggiungendo funzioni interne che dall'esterno non dovrebbero essere accessibili.

Secondo Horizon3.ai, citata da SecurityWeek, lo sfruttamento riuscito può portare al controllo dell'apparato. Sono coinvolti i modelli 6210, 7210 e 8200v. Non sono coinvolti, precisa BleepingComputer, la serie SMA 100 e la VPN SSL integrata nei firewall SonicWall.

Come sono andati gli attacchi?

Il ricercatore Ryan Dewhurst di Previdian ha descritto a BleepingComputer le richieste viste dalle sue trappole: puntavano a un database interno dell'apparato, raggiungibile solo dall'apparato stesso, provando credenziali predefinite. Previdian non sa ancora se qualche tentativo sia andato a segno. Anche Defused ha registrato traffico di questo tipo contro le sue esche.

Nell'avviso del 6 ottobre SonicWall non indicava la falla come sfruttata. Ma il tempo fra la patch e i primi attacchi, due giorni, dice molto: chi attacca legge gli avvisi di sicurezza come chi difende, e confronta la versione nuova con la vecchia per capire dove sta il difetto.

È la prima volta per questi apparati?

No, ed è il dato che preoccupa di più. Secondo BleepingComputer, l'interfaccia Work Place degli SMA1000 è stata colpita anche a luglio, quando due zero-day sono stati sfruttati per settimane per installare malware, e a settembre, con un'altra coppia di falle concatenate per eseguire codice da remoto. L'agenzia americana CISA ha nel suo catalogo 19 vulnerabilità SonicWall degli ultimi quattro anni, 13 delle quali usate da gruppi ransomware.

La Shadowserver Foundation conta oltre 400 SMA1000 esposti su internet.

Cosa cambia per una PMI?

SonicWall produce anche firewall pensati per le piccole e medie imprese, quindi il nome può essere familiare. La serie SMA1000 è più da azienda strutturata, ma il punto vale per tutti: un apparato di accesso remoto esposto su internet va aggiornato in giorni, non in settimane. E se lo stesso componente viene colpito tre volte in quattro mesi, conviene chiedersi se debba restare esposto così com'è.

Cosa fare adesso?

1. Verifica il modello: la falla riguarda solo SMA1000 6210, 7210 e 8200v.
2. Aggiorna alla 12.4.3-03670 o alla 12.5.0-03082, o a una versione successiva.
3. Limita l'esposizione dell'interfaccia Work Place, per esempio consentendo l'accesso solo da indirizzi noti dove possibile.
4. Controlla i registri a partire dall'8 ottobre in cerca di richieste anomale.
5. Se l'apparato era fermo a versioni di luglio o settembre, trattalo come potenzialmente compromesso e fai verificare l'integrità prima di fidarti.

Nello stesso periodo sono finiti sotto attacco anche Ivanti Connect Secure e il servizio di assistenza remota BeyondTrust.

Ne parliamo?

Ogni servizio esposto su internet è una porta da presidiare: il gateway VPN, ma anche il sito, l'area clienti, le API del gestionale. Quando progetto un'integrazione via API o un portale clienti, parto proprio da qui: cosa deve essere raggiungibile, da chi, e come si aggiorna. Se vuoi fare il punto sulla tua situazione, la consulenza tecnica serve a questo. Scrivimi dalla pagina contatti.

Fonti

• Max severity SonicWall SMA1000 flaw now exploited in attacks (BleepingComputer)
• Critical SonicWall Vulnerability Exploited Days After Disclosure (SecurityWeek)

Crediti delle immagini

• Copertina: foto di Brett Sayles su Pexels