SonicWall: שתי פרצות יום אפס ב-SMA1000 כבר מנוצלות, ומי שעדכן צריך גם לבדוק
SonicWall מזהירה ששתי חולשות ב-SMA1000, אחת מהן בציון 10.0, כבר מנוצלות. Volexity מצאה סימנים לפריצה מ-22 ביוני. איך מתקינים את התיקון ואיך בודקים אם המכשיר נפרץ.
TL;DR בקצרה
- ב-14 ביולי 2026 פירסמה SonicWall התראה על CVE-2026-15409 (SSRF, ציון 10.0) ועל CVE-2026-15410 (הזרקת קוד, ציון 7.2). שתיהן מנוצלות.
- התיקון: platform-hotfix 12.4.3-03453 או 12.5.0-02835 ומעלה, לדגמי 6210, 7210 ו-8200v. לפי BleepingComputer אין מיתון אחר.
- Volexity מצאה סימן לפריצה מ-22 ביוני, ו-Rapid7 ראתה שימוש בחשבון השירות של LDAP כדי להגיע לבקרי הדומיין.
- התקנה לא מספיקה: בדקו יומנים. אם נפרצתם, התקינו מחדש, החליפו סיסמאות ואפסו אסימוני TOTP.
תוקפים כבר מנצלים שתי פרצות יום אפס ב-SonicWall SMA1000, ו-SonicWall מבקשת לעדכן מיד. ב-14 ביולי 2026 החברה פירסמה את ההתראה SNWLID-2026-0008. CISA הוסיפה את שתי הפרצות לקטלוג KEV באותו יום. SMA1000 הוא מכשיר גישה מרחוק לארגונים, ולכן פריצה אליו פותחת דלת לרשת הפנימית.
מה שתי הפרצות ב-SonicWall SMA1000 מאפשרות
CVE-2026-15409 היא פרצת SSRF ברכיב Work Place של המכשיר. SSRF גורם למכשיר לשלוח בקשות ליעדים שלא התכוון אליהם. לפי BleepingComputer, תוקף מרחוק לא צריך להזדהות כדי לנצל אותה. ציון החומרה שלה הוא 10.0.
CVE-2026-15410 היא הזרקת קוד במסוף הניהול. מנהל מזוהה יכול להריץ בה פקודות במערכת ההפעלה. הציון שלה 7.2, אבל SonicWall נתנה להתראה כולה ציון 10.0. לפי BleepingComputer, SonicWall לא מסרה אם התוקפים משרשרים את שתיהן. לפי Help Net Security, בתקיפות שנצפו הן שימשו יחד.
הפרצות חלות על שלושה דגמים של SonicWall SMA1000: 6210, 7210 ו-8200v. הן חלות על שש גרסאות של platform-hotfix, בין 12.4.3-03245 ל-12.5.0-02800. SSL-VPN במכשירי חומת האש של SonicWall ו-SMA 100 לא פגיעים.
התיקון הוא platform-hotfix 12.4.3-03453 או 12.5.0-02835, או גרסה מאוחרת מהן. לפי BleepingComputer, אין מיתון אחר מלבד ההתקנה. SonicWall מוסיפה שהתקנה לבדה לא מספיקה, וצריך לבדוק יומנים גם אחריה.
מה קרה מאז: מה גילו Rapid7 ו-Volexity
צוות MDR של Rapid7 מסר שראה ניצול של מכשירים חשופים עוד לפני ההודעה הרשמית. לדבריו, התוקפים אספו אישורי כניסה, מסדי נתוני סשנים וזרעי TOTP של אימות רב-שלבי. אחר כך הם התחברו לבקרי הדומיין דרך כתובת הרשת הפנימית של המכשיר. הם השתמשו בשם עמדה כמו kali, תחת חשבון השירות של LDAP שהמכשיר מחזיק.
ב-17 ביולי פירסמה Volexity דוח על אותה תקיפה. לפי BleepingComputer, הסימן המוקדם ביותר שנצפה הוא מ-22 ביוני 2026, שבועות לפני הפרסום של SonicWall. Volexity מכנה את התוקף UTA0533. התוקפים השתמשו בנתיב /wsproxy כדי לפתוח מנהרות אל שירותים פנימיים, ובהם מסד הנתונים CouchDB. אחר כך הריצו פקודות כ-root דרך מסוף הניהול.
הם הפעילו dropper בשם KNUCKLEBALL, שהתקין שני רכיבי Java. הראשון, Sou5, הוא proxy הפוך שמסתיר תעבורה. השני, ORANGETAIL, הוא webshell שמריץ קוד בהצפנה. לדברי Volexity, הקמפיין היה מתוחכם, אבל הצליח פחות בהתפשטות לתוך הרשתות של הקורבנות. החברה בדקה שני מכשירים שנפרצו.
איך מזהים פריצה ל-SonicWall SMA1000
לפי BleepingComputer, ההתראה של SonicWall כוללת סימנים לזיהוי. ביומן extraweb_access.log, חפשו בקשות ל-/__api__/login או ל-/__api__/logout שהסתיימו ב-200. חפשו גם בקשות ל-/wsproxy עם פרמטר host חשוד ותגובה 101.
ביומן ctrl-service.log, חפשו החזרות של hotfix עם שמות שמכילים path traversal. בקובץ /var/lib/unit/conf.json, חפשו נתיבים ל-/__api__/login או ל-/__api__/logout. בהגדרה תקינה הנתיבים האלה לא קיימים.
מה זה אומר עבורכם
- התקינו את התיקון: עדכנו כל SonicWall SMA1000 לגרסה 12.4.3-03453 או 12.5.0-02835 ומעלה. זה הצעד הדחוף ביותר.
- בדקו יומנים גם אחרי העדכון: חפשו את הסימנים ב-extraweb_access.log, ב-ctrl-service.log וב-conf.json. תיקון לא מנקה פריצה קיימת.
- יש סימני פריצה? לפי SonicWall, התקינו מחדש מכשיר פיזי והקימו מחדש מכשיר וירטואלי. החליפו את כל סיסמאות המשתמשים והמנהלים, ואפסו את אסימוני ה-TOTP.
- הוסיפו את AD לבדיקה: חפשו התחברויות מכתובת המכשיר עם שמות עמדה חריגים כמו kali. החליפו גם את סיסמת חשבון השירות של LDAP.
- צמצמו חשיפה: הגבילו את הגישה למסוף הניהול לרשת מנהלים. שמרו מלאי של כל מכשירי SonicWall SMA1000.
מה הלאה
CISA דרשה מסוכנויות פדרליות בארה״ב לתקן עד 17 ביולי, וגם לבדוק אם תוקפים נכנסו אליהן. Volexity וגם Rapid7 הראו שהתוקפים פעלו לפני ההודעה. לכן גם מי שהתקין את התיקון מיד צריך לבדוק אם תוקפים נכנסו אליו לפני העדכון.
מקורות והרחבה
- SonicWall warns of SMA1000 flaws exploited in zero-day attacks, patch nowBleepingComputer
- CISA Adds Four Known Exploited Vulnerabilities to CatalogCISA
- SonicWall SMA appliances targeted in zero-day attacks (CVE-2026-15409, CVE-2026-15410)Help Net Security
- SonicWall SMA1000 flaws exploited as zero-days to push custom malwareBleepingComputer
- Multiple Vulnerabilities in SonicWall SMA1000 Series (AL-2026-088)Cyber Security Agency of Singapore
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
