SonicWall: due vulnerabilità nel GMS a fine vita non riceveranno patch

SonicWall ha confermato in una dichiarazione di inizio novembre 2026 che due vulnerabilità nel Global Management System (GMS) 9.5.2 e versioni precedenti — già a fine vita — non riceveranno aggiornamenti di sicurezza. Le organizzazioni che gestiscono infrastrutture di rete attraverso la console legacy devono migrare al Network Security Manager (NSM) o accettare i rischi connessi a falle non correggibili, una delle quali raggiunge punteggio CVSS 9.1 senza richiedere autenticazione.

Le due falle nel dettaglio

Le due vulnerabilità condividono la stessa superficie di attacco — istanze di SonicWall GMS 9.5.2 e versioni precedenti — ma presentano profili di rischio distinti. Secondo le fonti primarie concordanti, CVE-2026-109593 è una vulnerabilità di lettura file pre-autenticazione con punteggio CVSS 9.1. La mancanza di requisito di login la rende sfruttabile da qualsiasi attore con visibilità di rete sul sistema target.

CVE-2026-109594, con CVSS 6.8, richiede autenticazione come prerequisito. Si tratta di una SQL injection post-autenticazione che permette di alterare il contenuto del database di gestione con privilegi elevati. Sebbene il punteggio sia inferiore, la combinazione con credenziali compromesse costruisce una catena di attacco plausibile.

Entrambe le falle sono state individuate e riportate dai ricercatori di Pentest-Tools. La segnalazione esterna, piuttosto che una scoperta interna al vendor, evidenzia un pattern nel settore: la visibilità dei prodotti legacy decade più rapidamente della loro effettiva rimozione dalle infrastrutture operative.

"The affected product has reached End-of-life (EoL). As a result, no remediation or security update will be released for these vulnerabilities. Organizations using the product should be aware of the associated security risks and are strongly encouraged to upgrade to the SonicWall Network Security Manager (NSM)." — SonicWall, citato da BleepingComputer e The Hacker News

Perché SonicWall ha chiuso il caso

La posizione di SonicWall è dichiarata esplicitamente: il GMS ha completato il ciclo di vita supportato e il vendor non rilascerà correzioni. Questa pratica è comune nell'industria tecnologica, ma assume rilievo quando il prodotto abbandonato è una console di gestione della sicurezza perimetrale — componente critico dell'architettura difensiva di numerose organizzazioni.

La base installata di SonicWall è significativa: oltre 500.000 clienti in più di 215 paesi, con canale di distribuzione che supera i 17.000 partner. La percentuale effettiva di clienti che ancora opera con GMS 9.5.2 o precedenti non è quantificata nelle fonti disponibili.

La migrazione al NSM non è tecnicamente un aggiornamento: si tratta di prodotto differente, con architettura, licenze e requisiti operativi distinti. Il costo della transizione — in termini di pianificazione, formazione del personale, ridefinizione delle policy di rete e investimento in nuove licenze — ricade sul cliente.

SonicWall nel mirino degli attaccanti

La decisione di non patchare arriva in un momento di elevata esposizione per SonicWall. Secondo BleepingComputer, la Cybersecurity and Infrastructure Security Agency (CISA) ha incluso 19 vulnerabilità SonicWall nella propria Known Exploited Vulnerabilities (KEV) list negli ultimi quattro anni. Di queste, 13 sono state utilizzate da operazioni ransomware.

The Hacker News riporta un dato specifico: CVE-2026-102255, vulnerabilità SSRF con CVSS 10.0 nel prodotto SMA1000, è stata oggetto di exploitation attiva da ottobre 2026. I ricercatori hanno rilevato 2.541 tentativi di sfruttamento da 8 indirizzi IP unici, con origine tra Singapore e Stati Uniti. Questo episodio, riferito a prodotto differente ma dello stesso vendor, documenta che gli attori di minaccia monitorano le superfici SonicWall.

Non emerge nelle fonti disponibili alcuna conferma che le due CVE del GMS siano già sotto exploitation attivo.

Cosa fare adesso

Per le organizzazioni che utilizzano SonicWall GMS 9.5.2 o precedenti, le opzioni documentate nelle fonti primarie sono limitate. SonicWall raccomanda esplicitamente l'upgrade al Network Security Manager (NSM). La fonte non specifica procedure di migrazione dettagliate né tempistiche.

La scelta di mantenere GMS in produzione espone a rischi documentati: la vulnerabilità pre-autenticazione CVSS 9.1 è particolarmente critica perché non richiede credenziali valide. Le fonti non indicano workaround o mitigazioni temporanee alternative alla migrazione.

Per le organizzazioni in fase di pianificazione, la fonte non specifica costi, training o gap di funzionalità tra GMS e NSM. Questi elementi rientrano nella valutazione interna del singolo contesto operativo.

Contesto di mercato e limiti della transizione

La migrazione forzata al NSM solleva questioni operative che le fonti primarie non approfondiscono. Non è documentato se NSM offra parità funzionale con GMS su tutti i casi d'uso legacy, né se SonicWall preveda programmi di transizione agevolata. L'assenza di questi dettagli nelle fonti disponibili lascia ai clienti il carico di verifica contrattuale e tecnica.

Il fenomeno dei prodotti di sicurezza abbandonati mentre restano in produzione è ricorrente nel settore. CISA ha documentato nel tempo numerosi casi di vulnerabilità EoL sfruttate in ambienti enterprise, dove la sostituzione di sistemi core richiede cicli di budget estesi. Il caso SonicWall GMS rientra in questo pattern strutturale, con la peculiarità che il vendor ha esplicitato la non disponibilità di patch anziché lasciare ambiguità sulla timeline di supporto.

Fonti

• thehackernews.com
• bleepingcomputer.com
• socradar.io
• nvd.nist.gov
• nvd.nist.gov
• prsol.cc