SonicWall SMA 1000: due zero-day in catena sfruttati per 22…

SonicWall ha rilasciato il 14 luglio 2026 una patch critica per due vulnerabilità zero-day nelle appliance SMA 1000, ma l'esploitation attiva era iniziata il 22

{"main_topic":"cybersecurity","topics":["cybersec","vulnerabilita","zero-day","exploit","cve","ransomware","rce","patch"]}

SonicWall ha rilasciato il 14 luglio 2026 una patch critica per due vulnerabilità zero-day nelle appliance SMA 1000, ma l'esploitation attiva era iniziata il 22 giugno. La catena SSRF-to-localhost ha permesso a un threat actor di ottenere accesso root non autenticato, compromettere credenziali e seed MFA, e aprire la strada all'operazione ransomware INC. Il caso mette in luce un difetto architetturale ricorrente: la fiducia cieca nei servizi internal-only.

Punti chiave

CVE-2026-15409 (CVSS 10.0) è una SSRF pre-autenticazione nel proxy WebSocket; CVE-2026-15410 (CVSS 7.2) è una code injection post-autenticazione nel ctrl-service. Concatenate, consentono RCE con privilegi root.
L'attività malevola è iniziata il 22 giugno 2026, circa 22 giorni prima della pubblicazione delle patch, secondo l'analisi di Volexity sui primi segni di compromissione.
Il threat actor UTA0533 ha abusato di credenziali hardcoded admin:admin in CouchDB e di un bypass basato su UUID hardware, modificando NGINX e init script per persistenza oltre il reboot.
CISA ha inserito entrambe le CVE nel catalogo KEV con deadline 17 luglio 2026 per il Binding Operational Directive 26-04; non esistono workaround noti.

Come funziona la catena: da WebSocket a root in tre mosse

Il meccanismo d'attacco sfrutta un'assunzione architetturale pericolosa: i servizi in ascolto su localhost dell'appliance sono trattati come implicitamente trusted. La prima vulnerabilità, CVE-2026-15409, risiede nel proxy WebSocket all'endpoint /wsproxy. Un attaccante remoto non autenticato, presentando lo User-Agent SMA Connect Agent e il parametro bmID=-3389, induce il proxy a stabilire un tunnel verso servizi internal-only.

Tra questi servizi c'è CouchDB, il database documentale integrato nell'appliance, che secondo l'analisi di Volexity via SecurityAffairs "ships with hardcoded admin:admin credentials". Con queste credenziali, l'attaccante ottiene accesso al database e da qui al file system con i privilegi dell'utente couchdb.

Il passaggio successivo sfrutta un secondo difetto di progettazione: il file /sys/class/dmi/id/product_uuid è leggibile da chiunque sull'appliance, e da questo UUID si deriva la password del servizio ctrl-service. Volexity ha documentato questo canale, precisando che nell'incidente UTA0533 "does not appear to have been used"; il percorso effettivo dell'attacco ha invece raggiunto la code injection in remove_hotfix, CVE-2026-15410, per l'escalation a root.

Il malware toolkit identificato include quattro componenti distinti: ROOTRUN (anche xzfind), KNUCKLEBALL (file deploy_new.py), il proxy Suo5 (agent_wp8.jar) e la web shell ORANGETAIL (agent_wp9.jar). Per garantire persistenza, gli operatori hanno modificato la configurazione di NGINX Unit e gli script di init dell'appliance, sopravvivendo ai riavvii.

Il problema del 'localhost fallacy' e le credenziali immutabili

L'angolo tecnico del caso è la combinazione tra SSRF e servizi localhost-only mal protetti. L'appliance SMA 1000 è progettata come perimetro di sicurezza, ma il suo modello di minaccia interno assume che localhost equivalga a sicuro. Questo "localhost fallacy" consente a un attaccante esterno di attraversare il confine perimetrale sfruttando il proxy WebSocket come rampa di lancio.

Le credenziali hardcoded admin:admin in CouchDB rendono la catena deterministicamente riproducibile: una volta ottenuto il tunnel SSRF, nessuna variabilità impedisce l'accesso al database. La questione non è se l'attaccante riesca a indovinare la password, ma se riesca a raggiungere il servizio. La risposta, nel caso di CVE-2026-15409, è sì.

Un elemento ulteriore, documentato ma non attivato nell'incidente osservato, è il bypass basato su UUID hardware. La derivazione della password da un valore leggibile da qualsiasi processo sull'appliance introduce un secondo canale di accesso indipendente dalle credenziali utente. Il dossier non specifica se SonicWall intenda rimuovere questa logica oltre a patchare le CVE specifiche.

"UTA0533 combined multiple zero-day vulnerabilities to compromise SonicWall SMA VPN appliances and obtain root-level access"

Timeline, adozione ransomware e osservazioni in-the-wild

La finestra di esploitation zero-day è di circa 22 giorni, dal 22 giugno al 14 luglio 2026, secondo l'analisi Volexity citata da The Hacker News e corroborata da Help Net Security. eSentire ha osservato exploitation in-the-wild dal 16 luglio 2026, indicando che la catena è rimasta attiva anche dopo la disclosure.

Una conseguenza significativa è l'adozione della catena da parte dell'operazione ransomware INC. Douglas McKee di Rapid7, citato da The Hacker News, ha affermato che "INC Ransomware has emerged as the dominant threat actor actively weaponizing this vulnerability chain". Questa evoluzione colloca le appliance VPN perimetrali nel mirino privilegiato per l'accesso iniziale alle reti enterprise, un pattern già osservato in campagne precedenti ma qui accelerato dalla disponibilità di PoC pubblici.

Il traffico LDAP non criptato catturato durante l'incidente ha permesso agli attaccanti di estrarre credenziali e seed TOTP/MFA, compromettendo non solo l'appliance ma il meccanismo di autenticazione forte degli utenti. Secondo Volexity, "available evidence suggests the threat actor was less successful moving laterally or gaining access to other systems", ma il furto di credenziali espone a rischi di accesso ritardato.

Cosa fare adesso

Le organizzazioni con appliance SMA 1000 devono agire su tre fronti coordinati, sulla base delle indicazioni emergenti dal dossier:

Patch immediato alle versioni 12.4.3-03453 o 12.5.0-02835: SonicWall ha esplicitato che non esistono workaround o mitigazioni alternative. I modelli affetti sono SMA 6210, 7210 e 8200v con firmware 12.4.3-03245/03387/03434 o 12.5.0-02283/02624/02800.
Assunzione di compromissione per appliance non patchate entro il 22 giugno 2026: il patching post-compromissione non rimuove backdoor o modifiche persistenti a NGINX e init script. È necessaria una verifica di integrità dell'appliance ove applicabile.
Rotazione completa di password e token MFA: l'harvesting di credenziali e seed TOTP documentato nell'incidente richiede la revoca e riemissione di tutti i segreti autenticativi gestiti dall'appliance compromessa.
Ricerca degli indicatori di compromissione IoC pubblicati: SonicWall ha rilasciato IOC ufficiali nel proprio advisory, e Volexity ha condiviso signature YARA per i componenti del toolkit. La loro applicazione consente di identificare compromissioni storiche non rilevate.

Lettura: il perimetro che non si protegge da se stesso

Il caso SonicWall SMA 1000 non è un incidente di supply chain né una complessità di zero-day inevitabile. È il risultato di decisioni di progettazione cumulative: un proxy WebSocket che non valida le destinazioni tunnel, un database con credenziali hardcoded, un file system che espone l'UUID hardware, un servizio di amministrazione che accetta input non sanificati. Ogni singolo elemento è difendibile; la loro sovrapposizione è letale.

Per il settore, il messaggio è che le appliance VPN perimetrali sono diventate target strutturali per l'accesso iniziale ransomware. La loro posizione di gateway fidato tra internet e rete interna le rende appetibili, ma è proprio questa fiducia architetturale che richiede una verifica più rigorosa dei servizi internal-only. Il "localhost fallacy" non è esclusivo di SonicWall: è un pattern di design che meriterebbe revisione sistematica nei dispositivi di sicurezza di rete.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti