SonicWall SMA1000 SSRF'si yamanın yayımlanmasından iki gün sonra sömürü denemeleri çekti

SonicWall ne açıkladı

SonicWall, 6 Ekim 2026'da yayımladığı SNWLID-2026-0017 bülteniyle, SMA1000 ürün hattındaki — personel ve ortaklar için iç sistemlere dışarıdan erişimi aracılık eden uç cihazlar — dört açıklığı ele aldı.

Manşet konu, Work Place arayüzündeki kimlik doğrulaması gerektirmeyen, CVSS v3 10.0 puanlı bir server-side request forgery (SSRF) açığı olan CVE-2026-102255. SonicWall bunu hem SSRF hem de istenmeyen vekil sunucu (unintended proxy) kusuru olarak nitelendiriyor; özünde, cihazın saldırgan adına istekleri iletmeye kandırıldığı bir "kafa karıştırmış vekil" (confused deputy) sorunu. Bülten herhangi bir geçici çözüm listelemiyor.

Diğer üç açık daha düşük puanlara sahip ve saldırgandan daha fazlasını gerektiriyor: kimlik doğrulaması sonrası işletim sistemi komut enjeksiyonu olan ve 7.8 puanlı CVE-2026-102256; Appliance Management Console'daki Zip Slip yol geçişi (path traversal) kusuru olup uzaktan kod çalıştırmaya yükseltilebilen ve 7.2 puanlı CVE-2026-102257; ve 5.5 puanlı depolanmış cross-site scripting açığı CVE-2026-102258. İlk ikisi Anthropic'ten Benoît Sevens'e, diğerleri Zero Day Initiative ve DigitalCanion üzerinden Brian Mariani'ye atfedildi.

Etkilenen modeller, platform hotfix 12.4.3-03526 veya daha eski, ya da 12.5.0-02952 veya daha eski sürümlerdeki 6210, 7210 ve 8200v. Düzeltilmiş sürümler 12.4.3-03670 ile 12.5.0-03082 ve üzeri olup MySonicWall üzerinden dağıtılıyor. SonicWall, firewall ürünlerindeki SSL-VPN özelliğinin etkilenmediğini belirtiyor; Help Net Security de SMA 100 serisinin aynı şekilde etkilenmediğini bildiriyor.

Aynı arayüzde üçüncü tur

Work Place arayüzü, tek bir yıl içinde art arda üç kez acil yama zorunluluğu doğurdu. Beazley Security, tehdit aktörlerinin bu aynı arayüzdeki önceki SSRF açıklarını, SonicWall'un Temmuz'da ve yine Eylül 2026'da açıkladığı şekilde zero-day olarak sömürdüğüne dikkat çekiyor. Eylül turu, kimlik doğrulaması öncesi bir SSRF olan CVE-2026-83548 ile kimlik doğrulaması sonrası bir işletim sistemi komut enjeksiyonu olan CVE-2026-83549'u kapsıyordu; CISA her ikisini 2 Eylül'de Known Exploited Vulnerabilities kataloğuna aldı ve saldırganlar bu ikisini birleştirerek kimlik doğrulaması gerektirmeyen uzaktan kod çalıştırma elde etti. Help Net Security, 2026'daki iki zero-day SSRF'yi CVE-2026-15409 ve CVE-2026-83548 olarak belirliyor.

Yöneticiler için sonuç nettir: Eylül hotfix'i olan 12.5.0-02952'yi uygulamış olan herkes artık yeni bültenin etkilenen olarak işaretlediği bir sürümdedir ve birkaç hafta içinde tekrar yükseltme yapmak zorundadır. Beazley ayrıca, SonicWall'un yeni açıklamanın tarifinin CVE-2026-83548 için kullandığı ifadelerle büyük ölçüde örtüştüğünü; üreticinin bunun önceki hatanın bir varyantı mı yoksa yamanın bir bypass'ı mı olduğunu netleştirmediğini gözlemliyor. Bülten metninin ötesinde herhangi bir proof-of-concept ya da teknik değerlendirme bulunmuyor; bu nedenle savunmacılar, kamuya açık materyalden sömürü mekaniklerini çözümleyemiyor.

Açıklamadan denemelere iki gün

SecurityWeek, SonicWall'un açıklığı 6 Ekim'de açıkladığını ve eski adıyla KEVIntel olan Previdian ile Defused tehdik istihbarat firmalarının hafta sonuna kadar ilk sömürü denemeleri konusunda alarm verdiklerini bildiriyor. Defused, SMA tuzak sistemlerinin ilk denemeleri 8 Ekim'de, yani açıklamadan iki gün sonra kaydettiğini söyledi. Horizon3.ai, başarılı bir sömürünün saldırganların savunmasız cihazları ele geçirmesine olanak tanıyabileceği konusunda uyardı.

Anlatılar zamanlama konusunda çelişiyor. SonicWall'un bülteni şu anda saha sömürüsüne dair kanıt bulunmadığını belirtiyor; ancak o metin en son 6 Ekim'de — tuzak sistemlerdeki isabetlerden iki gün önce — güncellenmişti ve sayfanın 13 Ekim'deki bir kaydı hâlâ aynı tarihi taşıyordu. Beazley, araştırmacıların sömürü denemelerini kamuya açık biçimde raporladığını kaydetmek üzere kendi bültenini 9 Ekim'de güncelledi. Help Net Security, gerçek bir dağıtıma karşı hiçbir denemenin başarılı olduğu doğrulanmadığını ekliyor; bir deneme dalgası, ihlal varsayımı değil, günlük incelemesi ve maruziyetin azaltılmasını gerektiren, saldırgan ilgisi kanıtıdır.

Yakalanan yük neyi ortaya koyuyor

Beazley, araştırma honeypot'larının kaydettiği yükü yayımladı: 5984 numaralı portta dinleyen yerel bir servise yöneltilmiş — Beazley servisi adlandırmadığı için bu bir çıkarım; 5984, CouchDB'nin varsayılan portudur — bir OPTIONS isteği; istek bir yol geçişi dizisine gömülü olarak, Safari user agent'ı ve bir Origin başlığıyla geliyor. Localhost'a yöneltilen bir istek, saldırganın cihaz üzerinden erişilebilir olduğunu varsaydığı iç servisin türünü gösteriyor.

Neden önemli

Bir uzaktan erişim cihazı ayrıcalıklı bir konumda bulunur: dış oturumları sonlandırır ve üzerinden geçen herkesin kimlik bilgilerini saklar ya da aracılık eder. Oradaki bir SSRF, saldırgan trafiğini cihazın korumak için var olduğu sınırın ötesine taşır; hiçbir zaman güvenilmeyen girdi için tasarlanmamış iç servisleri açığa çıkarır. CVSS 10.0 puanı, açıklama ile kaydedilen ilk denemeler arasındaki iki günlük boşluk ve aynı portalda bir yıl içindeki üçüncü yama döngüsü ele alındığında yapılacak şey nettir: derhal 12.4.3-03670 veya 12.5.0-03082 sürümüne geçin — özellikle Eylül hotfix'i yalnızca birkaç hafta önce uygulanmışsa — ve Work Place arayüzünün dışa dönük maruziyetinin kendisini incelemeyi hak eden varlık olarak görün. Kanıtlar, bir bülten yayımlandıktan sonra sessiz bir pencere olmadığını söylüyor.