SMA 1000 bị khai thác zero-day trước khi công bố, kẻ tấn công chiếm quyền root
"Volexity reported that a previously unknown threat actor (UTA0533) exploited SonicWall SMA 1000 VPN appliances as zero-days before public disclosure, chaining CVE-2026-15409 and CVE-2026-15410 to gain arbitrary command execution and root access. The activity included dropping custom malware, modifying startup and NGINX Unit configuration files for persistence, and using localhost service access to read credentials and stage further exploitation; SonicWall released patches for both CVEs."
Nguy cơ cao do chuỗi khai thác cho phép chiếm quyền root và duy trì truy cập qua persistence; kẻ tấn công có thể đọc/ghi file và thu thập thông tin từ dịch vụ nội bộ.
Có thể dẫn đến rò rỉ thông tin xác thực và gián đoạn vận hành VPN do can thiệp cấu hình; tuy nhiên bằng chứng cho thấy khả năng lateral movement sang hệ thống khác chưa rõ ràng.
Volexity cho biết một tác nhân đe doạ chưa từng được ghi nhận (UTA0533) đã khai thác các zero-day trên thiết bị VPN SonicWall Secure Mobile Access (SMA) 1000 trước thời điểm công bố công khai từ ngày 22/6/2026. Phát hiện được đưa ra sau một cuộc điều tra incident response; chưa nêu danh tính tổ chức bị ảnh hưởng.
Chuỗi khai thác kết hợp CVE-2026-15409 (CVSS 10.0) và CVE-2026-15410 để đạt arbitrary command execution và root access. SonicWall đã phát hành bản vá cho cả hai lỗ hổng trong tuần này.
Theo phân tích, kẻ tấn công triển khai mã độc tùy biến, tạo cơ chế persistence bằng cách chỉnh sửa script khởi động và cấu hình NGINX Unit (thêm các route tới payload dạng proxy/web shell). Trên một thiết bị, tác nhân còn chạy tcpdump để thu thập thông tin LDAP không mã hoá. Sau khi thiết bị khởi động lại (ngày 2/7/2026), một số hiện vật trong bộ nhớ được cho là đã bị loại bỏ.
Khuyến nghị: ưu tiên áp dụng patch cho CVE-2026-15409/CVE-2026-15410, rà soát dấu hiệu thay đổi file cấu hình/khởi động và kiểm tra truy cập bất thường tới các dịch vụ nội bộ chỉ lộ qua WebSocket localhost.