SonicWall cảnh báo khai thác chủ động 2 lỗ hổng zero-day trên SMA 1000
"SonicWall disclosed active exploitation of two zero-day vulnerabilities in SMA 1000 series appliances: CVE-2026-15409, a critical SSRF flaw, and CVE-2026-15410, a post-authentication code injection issue that could allow arbitrary OS command execution as administrator under certain conditions. Fixes are available in platform-hotfix versions 12.4.3-03453 and 12.5.0-02835 or later, and CISA added both CVEs to its KEV catalog with a remediation deadline for FCEB agencies of July 17, 2026."
Rủi ro cao do khả năng SSRF và thực thi lệnh tùy ý trên thiết bị. Điểm then chốt: CVE-2026-15409 (SSRF) có thể bị khai thác từ xa không cần xác thực; CVE-2026-15410 có thể dẫn tới command execution với quyền administrator trong điều kiện nhất định.
Sự cố có thể gây gián đoạn truy cập từ xa và tăng chi phí xử lý sự cố do cần vá khẩn, rà soát IoC và khôi phục cấu hình. Điểm then chốt: yêu cầu áp dụng hotfix sớm và thực hiện forensic/khôi phục nếu có dấu hiệu xâm nhập; tuân thủ mốc KEV của CISA có thể ảnh hưởng kế hoạch vận hành.
SonicWall cho biết đã ghi nhận tình trạng khai thác chủ động đối với hai lỗ hổng zero-day ảnh hưởng đến dòng thiết bị Secure Mobile Access (SMA) 1000. Trong đó, một lỗi có thể dẫn đến thực thi lệnh tùy ý trên hệ điều hành với quyền quản trị trong một số điều kiện.
Cụ thể, hai CVE gồm: CVE-2026-15409 (CVSS 10.0) là lỗ hổng SSRF cho phép kẻ tấn công từ xa, không cần xác thực, khiến thiết bị gửi yêu cầu đến đích ngoài ý muốn. CVE-2026-15410 (CVSS 7.2) là lỗi code injection sau xác thực, bắt nguồn từ Appliance Management Console (AMC); kẻ tấn công đã xác thực có thể lợi dụng để thực thi lệnh OS tùy ý dưới vai trò administrator.
SonicWall khuyến nghị áp dụng bản vá ngay khi có thể: 12.4.3-03453 (platform-hotfix) và 12.5.0-02835 (platform-hotfix) trở lên. Đồng thời, cần rà soát dấu hiệu xâm nhập trong các log như extraweb_access.log và ctrl-service.log; nếu phát hiện chỉ báo, nên re-image/redeploy, đổi mật khẩu người dùng và quản trị, và reset token TOTP. CISA đưa cả hai CVE vào KEV với hạn khắc phục cho FCEB là 17/07/2026.