SonicWall SMA1000: zero-day attivi con movimento laterale senza VPN

SonicWall ha divulgato il 14 luglio 2026 due vulnerabilità zero-day nella serie SMA1000 che sono attivamente sfruttate in attacchi mirati. La catena di exploit consente esecuzione remota di codice non autenticata, completa compromissione dell'appliance e movimento laterale verso Active Directory bypassando i log delle sessioni VPN. CISA ha inserito entrambe le CVE nel catalogo KEV con scadenza di remediation per le agenzie federali fissata al 17 luglio 2026.

La catena tecnica: da SSRF a root in due passaggi

La superficie d'attacco è l'endpoint /wsproxy dell'interfaccia Appliance Work Place, un proxy WebSocket che SonicWall non aveva correttamente isolato dal piano di gestione interno. Secondo l'analisi di Rapid7, un attaccante remoto non autenticato sfrutta CVE-2026-15409 per tunnelizzare richieste verso servizi in ascolto solo su localhost: in particolare CouchDB sulla porta 1050 e il servizio di controllo ctrl-service sulla porta 8188.

Dalla risposta di CouchDB l'attaccante estrae il product_uuid, un identificatore necessario per autenticarsi all'Appliance Management Console. Con queste credenziali temporanee accede all'AMC e sfrutta CVE-2026-15410, una vulnerabilità di code injection nel workflow remove_hotfix che accetta percorsi forniti dall'utente senza sanificazione. Attraverso una directory traversal, l'attaccante forza l'esecuzione di uno script arbitrario con privilegi di root.

Volexity, riportata da BleepingComputer, ha documentato questa stessa catena in risposta a incidenti attribuiti al threat actor UTA0533. La data di prima compromissione osservata è il 22 giugno 2026, circa tre settimane prima della divulgazione pubblica.

Malware e persistenza: l'appliance come backdoor interna

Dopo la compromissione iniziale, gli attori della minaccia hanno distribuito più famiglie di malware Java custom. Volexity ha identificato KNUCKLEBALL come dropper iniziale, che a sua volta installa Sou5 — un reverse proxy che mantiene accesso remoto persistente — e ORANGETAIL, una webshell Java per esecuzione comandi arbitrari. ROOTrun è un ulteriore strumento di escalation dei privilegi rilevato negli stessi incidenti.

La persistenza meccanica include la modifica della configurazione nginx per esporre servizi interni verso l'esterno. Questo meccanismo trasforma l'appliance compromessa in un punto d'appoggio stabile all'interno del perimetro di rete, con comunicazioni che possono mascherarsi da traffico web legittimo.

"Threat actors were primarily leveraging the perimeter appliance as a stealthy initial access vector, executing commands on the operating system by bypassing traditional input validation controls" — Rapid7 MDR team

Il movimento laterale "VPN-less": perché cambia il modello di difesa

L'elemento che distingue questa campagna da precedenti compromissioni di appliance perimetrali è la tecnica di movimento laterale documentata da Rapid7. Invece di stabilire tunnel VPN tradizionali — che genererebbero log di sessione e allarmi su sistemi di monitoraggio — l'attaccante ha utilizzato direttamente l'account di servizio LDAP dell'appliance per autenticarsi a controller di dominio interni.

Le autenticazioni anomale osservate da Rapid7 MDR provenivano dall'indirizzo IP interno dell'appliance, non da sessioni VPN attive, e utilizzavano nomi workstation atipici come "kali". Il traffico LDAP dal punto di vista della rete interno appariva legittimo: proveniva da un'infrastruttura autorizzata, con credenziali valide, verso servizi directory standard.

"This unique behavior of direct, machine-level lateral movement with no corresponding active VPN tunnel confirmed that the appliance itself had been fully compromised and was acting as an unmonitored backdoor into the corporate directory infrastructure" — Rapid7 MDR team

Questa tecnica invalida un assunto strutturale comune nella segmentazione di rete: che le appliance perimetrali siano "passive" rispetto al traffico interno e che il controllo sulle sessioni VPN costituisca sufficiente visibilità. L'abuso dell'account di servizio LDAP integrato rompe questo modello: l'appliance non è più solo un terminale di accesso, ma diventa un'entità di autenticazione attiva con privilegi preesistenti nel directory service.

Il furto di credenziali esteso include anche sessioni VPN esistenti e semi TOTP, secondo le analisi di Rapid7 e le citazioni di The Hacker News da SonicWall e Volexity. Questo raddoppia l'impatto: non solo accesso persistente all'appliance, ma anche capacità di impersonare utenti legittimi con i loro secondi fattori di autenticazione.

Modelli affetti, patch e scadenza CISA

Le versioni firmware vulnerabili sono la serie 12.4.3 dalla build 03245 alla 03434 e la serie 12.5.0 dalla build 02283 alla 02800, sui modelli hardware SMA1000 6210, 7210 e 8200v. Secondo le fonti multiple concordi, le patch che correggono entrambe le vulnerabilità sono le build 12.4.3-03453 e 12.5.0-02835, rilasciate come platform-hotfix.

SonicWall ha esplicitamente confermato che i prodotti SSL-VPN su firewall SonicWall e la serie SMA100 non sono interessati da queste vulnerabilità. La distinzione è rilevante per le organizzazioni con portfolio misto: solo la serie SMA1000 richiede azione immediata.

CISA ha aggiunto CVE-2026-15409 e CVE-2026-15410 al catalogo Known Exploited Vulnerabilities il 14 luglio 2026, con Binding Operational Directive 26-04 che impone alle agenzie federali del Federal Civilian Executive Branch la remediation entro il 17 luglio 2026. Il catalogo CISA segnala inoltre associazione a campagne ransomware, sebbene nessuna fonte primaria nel dossier documenti deployment diretto di ransomware negli incidenti osservati.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle raccomandazioni di SonicWall PSIRT, Rapid7 e CISA:

• Applicare immediatamente le patch 12.4.3-03453 o 12.5.0-02835 su tutti i modelli SMA1000 affetti, con priorità massima per le istanze esposte a Internet.
• Eseguire triage forense su log di giugno-luglio 2026 anche su appliance già patchate: cercare pattern in extraweb_access.log, anomalie in ctrl-service.log e modifiche non autorizzate a /var/lib/unit/conf.json secondo gli IoC pubblicati da SonicWall.
• Riutilizzare le credenziali di servizio LDAP configurate sull'appliance, considerando che sono state esposte in caso di compromissione, e verificare autenticazioni AD anomale da indirizzi IP interni di appliance di rete.
• Ispezionare il traffico LDAP da appliance perimetrali verso controller di dominio come se fosse traffico da potenziale insider threat, non come infrastruttura trusted implicitamente.

Il limite della fiducia nel perimetro

Questo caso non è una compromissione di bordo come tante: è la dimostrazione che un'appliance perimetrale compromessa può ereditare fiducia strutturale sufficiente a bypassare controlli posizionati più a valle. La tecnica "VPN-less" sfrutta un'entropia nel modello di minaccia che le difese tradizionali non modellano: che un'infrastruttura di rete possa autenticarsi autonomamente all'interno, senza passare per un gateway controllato.

Il dossier non specifica il numero totale di organizzazioni compromesse a livello globale né la distribuzione geografica dei target. Rimangono inoltre da verificare le relazioni tra le CVE di luglio e le CVE-2026-83548/83549 emerse in fonti di settembre 2026, che potrebbero indicare una continuazione dell'attività offensiva o una reclassificazione parziale. Rapid7 ha segnalato un modulo Metasploit in sviluppo, ma la disponibilità non è confermata nel brief.

Per le organizzazioni con SMA1000, la postura difensiva non può più assumere che l'appliance perimetrale sia un mero terminale di accesso: deve essere trattata come un potenziale attore di autenticazione con privilegi di directory, con monitoraggio e isolamento conseguenti.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.securityweek.com/sonicwall-warns-of-two-sma1000-zero-days-exploited-in-attacks/
• https://www.tenable.com/blog/cve-2026-15409-cve-2026-15410-sonicwall-sma-1000-zero-day-vulnerabilities-exploited-in-the
• https://www.bleepingcomputer.com/news/security/sonicwall-sma1000-flaws-exploited-as-zero-days-to-push-custom-malware/
• https://www.rapid7.com/blog/post/etr-rapid7-mdr-team-discovers-new-sonicwall-sma1000-zero-days-being-actively-exploited-cve-2026-15409-cve-2026-15410/
• https://thehackernews.com/2026/07/two-sonicwall-sma-1000-zero-days.html
• https://securityaffairs.com/195364/hacking/sonicwall-warns-of-active-exploitation-of-two-sma-1000-zero-days.html
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-flaws-exploited-in-zero-day-attacks-patch-now/
• https://nvd.nist.gov/vuln/detail/CVE-2026-15409
• https://nvd.nist.gov/vuln/detail/CVE-2026-15410
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-15409
• https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-adds-four-known-exploited-vulnerabilities-catalog