Alerta Crítico: Vulnerabilidades Zero-Day no SonicWall SMA1000 Estão Sendo Exploradas

A SonicWall confirmou que duas falhas zero-day no SMA1000 estão sendo exploradas em larga escala, e a CISA já as incluiu no catálogo KEV com prazo de correção de 72 horas para agências federais. A CVE-2026-15409 (CVSS 10,0) é uma SSRF sem necessidade de autenticação na interface Appliance Work Place: um atacante pode forçar o dispositivo a acessar sistemas internos ou externos como se fosse ele mesmo, expondo credenciais, dados sensíveis ou até pivotando para redes atrás do firewall. Já a CVE-2026-15410 (CVSS 7.2) permite execução remota de comandos no sistema operacional, mas só após autenticação como administrador. Isso significa que, se um invasor já tiver acesso legítimo ao AMC (por exemplo, via credential stuffing ou phishing), consegue assumir controle total do appliance.

Essa dupla é especialmente perigosa porque ataca justamente o ponto mais crítico da arquitetura de acesso seguro: o gateway que protege aplicações web, SaaS e recursos internos. Diferente de falhas em servidores de aplicação ou endpoints, aqui o alvo é o próprio controlador de acesso, o que amplifica o impacto para confidencialidade, integridade e disponibilidade simultaneamente. E não há workaround: só atualização imediata para os hotfixes 12.4.3-03453 ou 12.5.0-02835.

Não há cobertura anterior do CEVIU sobre o SMA1000 ou vulnerabilidades específicas nessa linha de produtos. Portanto, não há evolução documentada entre versões anteriores e esta exploração ativa, trata-se do primeiro alerta público e confirmado dessas falhas no histórico da redação.

Essa é a quinta falha crítica em dispositivos de segurança de rede reportada como explorada ativamente pela CISA em menos de dois meses, depois das falhas no Palo Alto GlobalProtect (1º e 8 de junho), Ivanti Sentry (16 de junho), Cisco SD-WAN (6 de março) e Microsoft SharePoint (5 de julho). O padrão mostra que atacantes estão priorizando gateways, firewalls e appliances de acesso seguro: são alvos de alto valor com grande superfície de ataque e impacto sistêmico. Empresas que ainda não revisaram suas políticas de atualização de firmware em equipamentos de rede devem tratar isso como um indicador claro de risco operacional, não como um incidente isolado.