SonicWall vá lỗi zero-day trên SMA 1000 bị khai thác
"SonicWall released security updates for two zero-day vulnerabilities in SMA 1000 VPN appliances: CVE-2026-83548, a pre-authentication SSRF flaw, and CVE-2026-83549, a post-authentication OS command injection flaw. The company said both issues were actively exploited and may have been chained to achieve arbitrary code execution; fixes are available in platform-hotfix versions 12.4.3-03526 and 12.5.0-02952, with guidance to upgrade, check for IoCs, and re-image or reset credentials if compromised."
CVE-2026-83548 và CVE-2026-83549 đã bị khai thác thực tế; có khả năng bị kết hợp thành chuỗi tấn công để đạt thực thi mã từ xa trên thiết bị VPN. Đây là rủi ro nghiêm trọng với hệ thống truy cập từ xa.
SMA 1000 VPN appliances thường nằm trên đường truy cập vào tài nguyên nội bộ, nên sự cố có thể ảnh hưởng đến tính sẵn sàng và an toàn dữ liệu. Việc xử lý có thể cần nâng cấp, kiểm tra xâm nhập và đặt lại thông tin xác thực, gây gián đoạn vận hành.
SonicWall đã phát hành bản cập nhật bảo mật cho hai lỗ hổng zero-day ảnh hưởng đến dòng SMA 1000 VPN appliances. Theo hãng, cả hai vấn đề đều đã bị khai thác trong thực tế và có thể đã bị kết hợp thành một attack chain để đạt tới thực thi mã tùy ý trên thiết bị bị ảnh hưởng.
Hai lỗ hổng gồm CVE-2026-83548 là lỗi SSRF trước xác thực trong giao diện Appliance Work Place, cho phép kẻ tấn công từ xa chưa xác thực truy cập trái phép vào chức năng nhạy cảm; và CVE-2026-83549 là lỗi OS command injection sau xác thực trong Appliance Management Console (AMC), có thể cho phép tài khoản quản trị thực thi lệnh tùy ý trong một số điều kiện.
Các phiên bản bị ảnh hưởng gồm SMA 1000 model 6210, 7210, 8200v chạy 12.4.3-03453 và cũ hơn, hoặc 12.5.0-02835 và cũ hơn. Bản vá đã có trong 12.4.3-03526 và 12.5.0-02952.
Khuyến nghị kỹ thuật: nâng cấp ngay lên bản hotfix mới nhất, rà soát IoCs trên hệ thống, và nếu phát hiện dấu hiệu xâm nhập thì re-image/re-deploy thiết bị, đổi toàn bộ mật khẩu người dùng và quản trị, đồng thời reset TOTP.