SonicWall SMA 1000 sotto attacco: CVE-2026-15409 CVSS 10.0 e furto dei seed TOTP

Il 22 giugno 2026 un attore minaccia designato UTA0533 da Volexity ha iniziato a sfruttare due vulnerabilità zero-day nelle appliance VPN SonicWall SMA 1000, ottenendo accesso root senza credenziali. Ventidue giorni dopo, il 13-14 luglio 2026, SonicWall ha rilasciato le patch; il 14 luglio il CISA ha inserito entrambe le CVE nel catalogo KEV con scadenza federale fissata al 17 luglio. A metà agosto, l'INC ransomware rimane il principale attore post-divulgazione e un problema operativo ostico continua a dividere gli incident responder: il furto dei seed TOTP, che rende il classico reset delle password un gesto simbolico.

La catena dello sfruttamento: da /wsproxy a root

Il nucleo tecnico è una Server-Side Request Forgery pre-autenticazione nel componente /wsproxy delle SMA 1000. Rapid7, il cui team MDR ha scoperto lo sfruttamento attivo e pubblicato proof-of-concept, descrive il meccanismo così: "With this capability, an attacker can reach and exploit less-hardened services running on the appliance, such as the Erlang application on localhost:1050 or the ctrl-service application on localhost:8188". La WebSocket tunnelizza verso servizi esposti solo su localhost, aggirando le protezioni perimetrali.

Da lì la seconda concatenazione: CVE-2026-15410 nel workflow remove_hotfix di ctrl-service. Il path traversal consente di far eseguire script controllati dall'attaccante con privilegi di root. Rapid7 documenta la sequenza concreta: ../../../../tmp/1234.sh eseguito come root. La National Vulnerability Database registra CVE-2026-15409 con punteggio CVSS 10.0 e vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H; CVE-2026-15410 con CVSS 7.2 e vettore CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, entrambi con punteggio CISA-ADP.

I due attori: UTA0533 e INC ransomware

Volexity ha assegnato la designazione UTA0533 al cluster responsabile dello sfruttamento pre-divulgazione. I ricercatori Sean Koessel e Steven Adair affermano: "UTA0533 combined multiple zero-day vulnerabilities to compromise SonicWall SMA VPN appliances and obtain root-level access". Il malware associato include ROOTRUN (xzfind, escalation setuid), KNUCKLEBALL (deploy_new.py, loader Python con JAR embedded), Suo5 (proxy HTTP) e ORANGETAIL (Java web shell custom).

Dopo la pubblicazione delle patch, l'INC ransomware è emerso come attore dominante. Douglas McKee, director of vulnerability intelligence di Rapid7, lo conferma: "More recently, INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain". Il gruppo è noto per le tattiche di estorsione con chiamate telefoniche dirette alle vittime. Resecurity ha identificato vittime pubblicate su data leak site tra il 17 luglio e il 1 agosto 2026, senza però quantificare il totale delle organizzazioni colpite.

"More recently, INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain" — Douglas McKee, Rapid7

Il problema operativo: i seed TOTP e il teatro del reset

Qui si colloca l'angolo critico per chi gestisce risposta agli incidenti. Rapid7 documenta che gli attaccanti hanno "systematically extracted...Time-Based One-Time Password (TOTP) multi-factor authentication (MFA) seed configurations". Resecurity precisa che si tratta di "secret values that generate one-time passcodes". Questo non è un furto di token validi, che scaderebbero in secondi: è l'esfiltrazione del materiale segreto che genera i token, rendendo l'attaccante capace di produrre codici TOTP validi a piacimento.

La conseguenza è che il classico playbook di risposta agli incidenti — reset delle password, revoca delle sessioni, patching — lascia aperta una porta. Finché i seed TOTP non vengono rigenerati (re-seeding), l'autenticazione a due fattori continua a garantire accesso all'attaccante. SonicWall raccomanda esplicitamente, secondo BleepingComputer, il re-imaging delle appliance compromesse, il reset di tutte le password e la rigenerazione dei token TOTP. La raccomandazione non è un'aggiunta cautelativa: è la conseguenza diretta di un fatto tecnico documentato.

Cosa fare adesso

Le azioni prioritarie emergono dai fatti verificati del dossier:

• Aggiornare il firmware alle versioni patchate: SonicWall ha rilasciato 12.4.3-03453+ e 12.5.0-02835+; non esistono workaround alternativi, secondo l'advisory del vendor citato da BleepingComputer.
• Ricostruire le appliance compromesse: il re-imaging è raccomandato dal vendor per eliminare eventuale persistenza stabilita durante la finestra di sfruttamento.
• Reset completo di password e seed TOTP: la sola rotazione delle password è insufficiente; i seed MFA devono essere rigenerati per impedire l'autenticazione con codici prodotti dall'attaccante.
• Verificare autenticazioni anomale in Active Directory: Rapid7 ha osservato autenticazioni LDAP senza tunnel VPN da indirizzi IP interni dell'appliance; controllare log con nomi workstation non conformi al naming aziendale.

I limiti del quadro

Il dossier lascia aperti interrogativi rilevanti. Non è chiaro se UTA0533 e INC ransomware rappresentino lo stesso gruppo o attori distinti con accesso condiviso allo strumentario; Rapid7 suggerisce "single threat actor or coordinated group" per la fase di scoperta zero-day, ma INC potrebbe essere un adottante post-divulgazione. Il totale delle vittime non è quantificato in modo coerente tra le fonti. Non è documentato se le credenziali CouchDB hardcoded "admin:admin" menzionate in alcune analisi siano state effettivamente sfruttate negli incidenti osservati; Volexity indica che non lo erano nella campagna UTA0533.

Un'incertezza tecnica riguarda i modelli virtuali: SMA 8200v potrebbe essere esploitable attraverso un bypass product_uuid che, secondo Volexity, colpisce solo i dispositivi fisici. Il tasso di adozione delle patch ad agosto 2026 non è disponibile in forma numerica, anche se Resecurity segnala che molte appliance rimangono vulnerabili.

Il caso SonicWall SMA 1000 funge da benchmark per una verifica che le procedure di risposta agli incidenti devono incorporare: quando la VPN stessa diviene vettore di compromissione, la rigenerazione delle credenziali non è più un passaggio formale. Il reset delle password senza re-seeding TOTP è un gesto che all'attaccante lascia intatto l'accesso.

Fonti

• https://tech-insider.org/sonicwall-sma-1000-zero-day-cvss-10-2026/
• https://tech-insider.org/sonicwall-sma-zero-day-2026/
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-flaws-exploited-in-zero-day-attacks-patch-now/
• https://thehackernews.com/2026/07/sonicwall-sma-zero-days-exploited.html
• https://www.rapid7.com/blog/post/etr-rapid7-mdr-team-discovers-new-sonicwall-sma1000-zero-days-being-actively-exploited-cve-2026-15409-cve-2026-15410/
• https://arcticwolf.com/resources/blog/cve-2026-15409-cve-2026-15410-security-bulletin-sonicwall-sma-1000-series-zero-day-vulnerabilities/
• https://nvd.nist.gov/vuln/detail/CVE-2026-15409
• https://nvd.nist.gov/vuln/detail/CVE-2026-15410
• https://www.resecurity.com/blog/article/from-wsproxy-to-root-inc-ransomware-and-sonicwall-sma-exploit-chain
• https://www.helpnetsecurity.com/2026/07/21/sonicwall-sma-zero-days-exploited-cve-2026-15409-cve-2026-15410/
• https://kudelskisecurity.com/research/a-likely-zero-day-vulnerability-in-sonicwall-ssl-vpn-exploited-by-akira-ransomware-group

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti