Lead: CERT Polska i producent SonicWall ostrzegają przed dwiema podatnościami w urządzeniach z serii SMA1000. Jedna z nich otrzymała maksymalną ocenę CVSS 10.0. Luki są już wykorzystywane w rzeczywistych atakach, dlatego samo zaplanowanie późniejszej aktualizacji może być niewystarczające.
Jakich urządzeń dotyczy ostrzeżenie?
SonicWall SMA1000 to rozwiązania zapewniające bezpieczny zdalny dostęp do zasobów organizacji. Urządzenia tego typu często znajdują się na styku internetu i sieci firmowej, dlatego ich przejęcie może otworzyć napastnikowi drogę do ważnych systemów.
15 lipca 2026 roku CERT Polska opublikował pilne ostrzeżenie dotyczące urządzeń SonicWall SMA1000. Producent potwierdził aktywne wykorzystywanie dwóch podatności:
- CVE-2026-15409 — krytyczna podatność SSRF, CVSS 10.0,
- CVE-2026-15410 — podatność typu code injection, CVSS 7.2.
Informacje o aktywnym wykorzystaniu obu luk potwierdza również oficjalny komunikat SonicWall. CERT Polska zaleca natychmiastową aktualizację i sprawdzenie urządzeń pod kątem śladów włamania. Ostrzeżenie CERT Polska z 15 lipca 2026 r.
CVE-2026-15409 — krytyczne zagrożenie SSRF
Pierwsza luka znajduje się w interfejsie Appliance WorkPlace. Umożliwia nieuwierzytelnionemu napastnikowi skłonienie urządzenia do wysyłania żądań do niepożądanych lokalizacji.
Ten rodzaj podatności określa się jako Server-Side Request Forgery. Atakujący wykorzystuje serwer jako pośrednika, aby uzyskać dostęp do zasobów, które z internetu mogłyby być dla niego niedostępne.
CVE-2026-15409 otrzymała maksymalną ocenę 10.0 w skali CVSS. Do podjęcia próby ataku nie jest wymagane wcześniejsze zalogowanie ani działanie użytkownika.
CVE-2026-15410 — wykonywanie poleceń systemowych
Druga podatność występuje w konsoli zarządzającej SMA1000. W określonych warunkach uwierzytelniony napastnik posiadający uprawnienia administratora może wykonać dowolne polecenia systemu operacyjnego.
Luka ma ocenę CVSS 7.2. Wymóg posiadania uprawnień administracyjnych ogranicza możliwość jej wykorzystania, ale nie eliminuje zagrożenia. Może ona zostać użyta jako kolejny etap ataku po wcześniejszym zdobyciu dostępu.
Które wersje są podatne?
Według komunikatów CERT Polska i SonicWall podatności dotyczą następujących wydań:
- 12.4.3-03245,
- 12.4.3-03387,
- 12.4.3-03434,
- 12.5.0-02283,
- 12.5.0-02624,
- 12.5.0-02800.
Producent udostępnił poprawione wersje:
- 12.4.3-03453 lub nowszą,
- 12.5.0-02835 lub nowszą.
Problem dotyczy modeli SMA6210, SMA7210 oraz SMA8200v. Według SonicWall opisywane podatności nie dotyczą linii SMA 100 ani funkcji SSL VPN działającej na zaporach SonicWall.
Dlaczego sama aktualizacja może nie wystarczyć?
Aktualizacja usuwa podatność, ale nie usuwa automatycznie skutków wcześniejszego włamania. Ponieważ producent potwierdził aktywne ataki, administrator powinien założyć możliwość, że urządzenie zostało zaatakowane jeszcze przed instalacją poprawki.
Organizacja powinna więc wykonać dwa równoległe działania:
- natychmiast zainstalować poprawioną wersję,
- przeprowadzić analizę pod kątem wskaźników kompromitacji, czyli IoC.
Jeżeli aktualizacja zostanie wykonana bez analizy, zespół może przeoczyć istniejący dostęp napastnika, zmienioną konfigurację lub przejęte dane uwierzytelniające.
Zalecana procedura dla administratorów
1. Przeprowadź inwentaryzację
Sprawdź, czy organizacja albo jej dostawca usług korzysta z urządzeń SMA6210, SMA7210 lub SMA8200v. Zweryfikuj dokładną wersję firmware’u.
2. Zainstaluj poprawkę
Zaktualizuj system do wersji wskazanej przez producenta. Nie odkładaj instalacji do zwykłego miesięcznego okna serwisowego, ponieważ luki są aktywnie wykorzystywane.
3. Zabezpiecz dane przed zmianami
Przed rozpoczęciem analizy zachowaj dostępne logi, konfigurację i inne dane potrzebne do ustalenia przebiegu zdarzenia. Dokumentuj czas oraz zakres wykonywanych czynności.
4. Sprawdź wskaźniki kompromitacji
Porównaj logi i konfigurację urządzenia z aktualną listą IoC opublikowaną w advisory SonicWall PSIRT. Lista może być aktualizowana wraz z rozwojem dochodzenia.
5. Zweryfikuj konta i uwierzytelnianie
Sprawdź:
- nieznane konta administratorów,
- nietypowe logowania,
- zmiany konfiguracji,
- nowe reguły dostępu,
- nieoczekiwane połączenia wychodzące,
- próby wycofania aktualizacji lub hotfixów.
6. Przygotuj się na odtworzenie urządzenia
Jeżeli zostaną znalezione ślady kompromitacji, samo usunięcie pojedynczego pliku może nie zapewnić bezpieczeństwa. Konieczne może być odtworzenie urządzenia z zaufanego obrazu albo ponowne wdrożenie wersji wirtualnej.
Po analizie należy również rozważyć zmianę haseł użytkowników i administratorów oraz ponowne ustanowienie tokenów uwierzytelniania wieloskładnikowego.
Jak ograniczyć podobne ryzyko w przyszłości?
- Prowadź aktualną inwentaryzację urządzeń dostępnych z internetu.
- Subskrybuj komunikaty producentów i CERT Polska.
- Ustal oddzielny proces dla krytycznych podatności wykorzystywanych w atakach.
- Ogranicz dostęp do interfejsów administracyjnych do zaufanych adresów i sieci.
- Wysyłaj logi urządzeń brzegowych do zewnętrznego, chronionego systemu.
- Regularnie sprawdzaj konta uprzywilejowane i aktywne sesje.
- Testuj procedurę odtworzenia konfiguracji po kompromitacji urządzenia.
Fakty potwierdzone i obszary niepewności
Potwierdzone: podatności CVE-2026-15409 i CVE-2026-15410 dotyczą wskazanych wersji SMA1000, producent wydał poprawki, a obie luki są aktywnie wykorzystywane.
Niepotwierdzone publicznie: komunikaty nie określają pełnej liczby zaatakowanych organizacji, tożsamości napastników ani kompletnego zakresu wszystkich kampanii. Nie należy przypisywać ataków konkretnej grupie bez dodatkowych dowodów.
Podsumowanie
Urządzenie zapewniające zdalny dostęp jest jednym z najbardziej wrażliwych elementów infrastruktury. W przypadku SonicWall SMA1000 ryzyko nie jest wyłącznie teoretyczne — producent potwierdził aktywne ataki.
Administratorzy powinni nie tylko wdrożyć poprawione oprogramowanie, lecz również zabezpieczyć logi, sprawdzić wskaźniki kompromitacji i zweryfikować konta oraz konfigurację. Szybka aktualizacja połączona z analizą incydentu daje znacznie większą ochronę niż samo zainstalowanie poprawki.