SonicWall SMA1000 CVE-2026-102255: terza SSRF con CVSS 10 in meno di tre mesi, tentativi di sfruttamento due giorni dopo la patch

I gateway di accesso remoto SonicWall SMA1000, nei modelli 6210, 7210 e 8200v, sono esposti alla CVE-2026-102255, una server-side request forgery (SSRF) pre-autenticazione con CVSS 10.0 nel portale utente Work Place. Un percorso di accesso alternativo non previsto fa funzionare l'appliance da forward proxy: un attaccante remoto senza credenziali può farle inoltrare richieste costruite ad arte verso servizi interni che la considerano affidabile, raggiungere funzionalità riservate ed eseguire operazioni non autorizzate. SonicWall l'ha corretta il 6 ottobre 2026 con l'advisory SNWLID-2026-0017, insieme ad altre tre falle: la CVE-2026-102256, una OS command injection che un amministratore autenticato può usare per eseguire codice (CVSS 7.8), e due vulnerabilità della console di gestione AMC, lo Zip Slip CVE-2026-102257, che porta anch'esso all'esecuzione di codice (CVSS 7.2), e lo stored XSS CVE-2026-102258 (CVSS 5.5). Il 12 ottobre ACN ha aggiornato il proprio alert, di livello critico, per i tentativi di sfruttamento attivo osservati in rete, che riguardano la sola CVE-2026-102255.

SonicWall accredita la scoperta della CVE-2026-102255, come quella della CVE-2026-102256, a un ricercatore esterno, Benoît Sevens di Anthropic, e alla pubblicazione dell'advisory dichiarava di non avere evidenze di sfruttamento. I primi tentativi sono arrivati l'8 ottobre, due giorni dopo la patch, su sistemi esca (decoy) predisposti per osservare gli attacchi, come riportano BleepingComputer e SecurityWeek; dal 9 ottobre li hanno registrati anche i sensori di Previdian, che al 16 ottobre ne contava 1.887 da cinque indirizzi IP, fra Singapore e Stati Uniti. Previdian ha descritto a BleepingComputer la tecnica osservata: richieste HTTP OPTIONS costruite ad arte e inviate al componente Extraweb del portale Work Place, dirette al database CouchDB interno, che ascolta sulla porta 5984 ed è raggiungibile solo dall'appliance stessa, per invocare la funzione _rewrite di un design document con le credenziali predefinite, admin come nome utente e come password. Secondo BleepingComputer la falla colpisce la stessa interfaccia Work Place delle due SSRF divulgate a luglio e a settembre, con una tecnica di sfruttamento diversa. Previdian non ha ancora stabilito se qualcuno dei tentativi sia andato a segno e non risultano compromissioni confermate né un'attribuzione; l'advisory di SonicWall non è stato aggiornato.

Per chi gestisce questi apparati il primo controllo è la build installata. Le versioni 12.4.3-03526 e 12.5.0-02952, quelle che a settembre correggevano la CVE-2026-83548, sono le ultime build vulnerabili alla nuova falla: chi aveva aggiornato come indicato in un nostro precedente alert del 2 settembre deve farlo di nuovo. È la terza SSRF con CVSS 10 sul portale Work Place in meno di tre mesi, dopo la CVE-2026-83548 di settembre e la CVE-2026-15409 di luglio, di cui avevamo scritto in un nostro precedente alert del 15 luglio; in quel caso gli attaccanti avevano sottratto credenziali, database delle sessioni attive e seed TOTP dell'autenticazione a più fattori, materiale che consente di rientrare anche dopo la patch. A doversene preoccupare è chi espone su internet il portale Work Place di un SMA1000 per l'accesso remoto di dipendenti e fornitori: secondo BleepingComputer sono apparati diffusi fra grandi aziende, fornitori di servizi di sicurezza gestiti ed enti governativi, e i dati di scansione citati dalla testata ne contano più di 400 raggiungibili da internet. Le due SSRF precedenti erano state sfruttate prima della correzione, questa è stata presa di mira due giorni dopo: su un apparato di perimetro, la finestra utile per aggiornare ormai si conta in giorni.

• Versioni affette: SonicWall SMA1000 modelli 6210, 7210 e 8200v con firmware 12.4.3-03526 (platform-hotfix) e precedenti o 12.5.0-02952 (platform-hotfix) e precedenti, comprese quindi le build correttive rilasciate a luglio e a settembre. Non sono interessati gli SMA 100 Series né la funzione SSL-VPN dei firewall SonicWall.
• Azione raccomandata: aggiornare subito alla 12.4.3-03670 o alla 12.5.0-03082 (platform-hotfix) o successive, disponibili su MySonicWall (il vendor non indica workaround); verificare la build effettivamente installata, dato che chi è fermo alle versioni di settembre o di luglio resta esposto; limitare l'accesso al portale Work Place con restrizioni sugli indirizzi di origine dove possibile e non rendere mai raggiungibile da internet la console AMC; cercare nei log, a partire dal 6 ottobre, richieste OPTIONS anomale verso Work Place ed Extraweb dirette al servizio CouchDB interno o alla funzione _rewrite dei design document; trattare come potenzialmente compromessa, fino a verifica, un'appliance rimasta esposta e non aggiornata, e in quel caso ruotare credenziali amministrative, segreti degli account di servizio, seed TOTP e certificati, cercare web shell e controllare le connessioni in uscita dall'appliance.

Fonti: ACN, SonicWall, Previdian, BleepingComputer, SecurityWeek