Sono state rilevate due vulnerabilità zero‑day (CVE‑2026‑15409 e CVE‑2026‑15410) negli appliance SonicWall Secure Mobile Access 1000, già sfruttate da un noto gruppo ransomware (“Inc”). Il rischio? Gli attaccanti possono assumere il controllo del dispositivo a livello root e preparare l’attacco alla tua rete aziendale.
Cosa è successo
Il 14 luglio 2026, SonicWall ha pubblicato un avviso di sicurezza sulle due vulnerabilità attive nella serie SMA 1000, confermandone l’uso in attacchi reali.
CVE‑2026‑15409 è una falla di tipo SSRF (Server‑Side Request Forgery) nella pagina Workplace, con gravità massima (CVSS 10.0): un attaccante non autenticato può indurre l’appliance a inviare richieste verso servizi interni non autorizzati.
CVE‑2026‑15410, con gravità elevata (CVSS 7.2), permette l’esecuzione di codice (RCE) sul sistema operativo, ma richiede accesso alla console di gestione (AMC) dell’appliance.
Secondo i dati di Rapid7, un attore affiliato al gruppo Inc RaaS sfrutta prima la SSRF per ottenere accesso, poi l’RCE per elevarsi a root, sottrarre credenziali e muoversi lateralmente verso server critici come i domain controller.
Perché è importante
Questa minaccia riguarda direttamente le piccole e medie imprese italiane che utilizzano SonicWall per garantire accessi remoti sicuri:
- Un gateway compromesso apre la porta all’intera rete interna, con rischio di furto dati e interruzione operativa.
- Il gruppo Inc ha già portato a termine almeno un attacco con deployment di ransomware.
- La vulnerabilità è nel perimetro di difesa, solitamente non aggiornata con tempestività.
Cosa fare adesso
- Aggiorna immediatamente il firmware degli SMA 1000 alla versione 12.4.3‑03453 o superiore, o 12.5.0‑02835 o superiore.
- Effettua un’analisi forense approfondita per verificare eventuali segni di compromesso (IoC), anche se dopo patch.
- Se sono stati rilevati compromessi, procedi con la reinstallazione (re‑image) o nuova deploy dell’appliance virtuale e cambia tutte le credenziali utente e amministratore, compresi i token TOTP.
- Monitora log e traffico sospetto, soprattutto accessi AMC o richieste Workplace anomale.
- Applica il principio dell’“assume‑breach”: aggiornamenti rapidi, monitoraggio continuo e piani di risposta pronti all’uso.
Come ti aiuta Evo Sistemi
Evo Sistemi può supportarti con servizi specifici per affrontare questa minaccia:
- sicurezza informatica – per aggiornamenti, analisi forense e monitoraggio continuo;
- realizzazione siti web – per progettare infrastrutture remote access sicure e integrate;
- compliance e GDPR – per garantire che la gestione delle vulnerabilità rientri nei processi documentati e conformi.
Contattaci per una valutazione immediata e mettere in sicurezza la tua infrastruttura: richiedi una consulenza.
Domande frequenti
Chi è a rischio?
Chiunque usi appliance SonicWall SMA 1000 nelle versioni vulnerabili (firmware 12.4.3‑03245, ‑03387, ‑03434 o 12.5.0‑02283, ‑02624, ‑02800).
Le patch sono sufficienti per eliminare il rischio?
La patch è essenziale, ma se l’appliance è già compromessa serve una scansione forense e probabilmente reinstallare il sistema.
Come si rilevano eventuali attacchi già avvenuti?
Attraverso l’identificazione di indicatori di compromesso nei log (ad esempio accessi Workplace o AMC sospetti), verifiche approfondite di configurazioni e comportamento dell’appliance.
Fonte: DarkReading.