SonicWall GMS afetado por duas falhas críticas de execução remota de código sem autenticação em todas as versões até 9.5.1

A SonicWall divulgou duas vulnerabilidades críticas de execução remota de código em seu produto Global Management System (GMS), ambas exploráveis sem autenticação. As falhas, publicadas hoje pelo SecurityOnline, afetam a versão GMS 9.5.1 e todas as versões anteriores — um produto amplamente implantado por provedores de serviços gerenciados e equipes de TI corporativas para gerenciar centralmente parques de firewalls SonicWall.

O que as vulnerabilidades fazem

CVE-2026-66147, com pontuação CVSS 9,4, é uma falha de injeção de comandos não autenticada no GMS Dispatcher Service. Um atacante remoto pode enviar uma requisição especialmente elaborada para executar comandos arbitrários no sistema operacional subjacente — sem necessidade de credenciais. A vulnerabilidade é classificada sob CWE-94 (Controle inadequado de geração de código).

A segunda vulnerabilidade, CVE-2026-66145, tem pontuação CVSS 9,1 e é descrita de forma semelhante como uma falha de execução remota de código sem autenticação no mesmo produto. A proximidade dos números CVE e o produto compartilhado sugerem que ambos os problemas foram identificados no mesmo esforço de pesquisa de segurança.

Por que é grave

O GMS não é um firewall — é o plano de gerenciamento que fica acima dos firewalls. Um comprometimento aqui significa que um atacante obtém controle sobre toda a infraestrutura de gerenciamento de rede: políticas de firewall, configurações de VPN, regras de acesso de usuários e logs. Esse nível de acesso poderia permitir que um adversário reconfigure silenciosamente as defesas da rede, abra backdoors ou pivote mais fundo na organização sem acionar alertas.

A natureza não autenticada de ambos os exploits significa que os atacantes não precisam de credenciais roubadas para acioná-los. Qualquer instância GMS exposta à internet — ou acessível a partir de um segmento de rede comprometido — é um alvo viável.

O que fazer

A SonicWall orientou as organizações afetadas a consultar seu portal de avisos PSIRT em psirt.global.sonicwall.com para obter orientações específicas de correção. Administradores executando GMS 9.5.1 ou versões anteriores devem tratar isso como um patch de emergência e priorizar as atualizações. Se a correção imediata não for possível, restringir o acesso de rede à interface de gerenciamento do GMS a faixas de IP confiáveis é uma etapa provisória crítica.

As organizações também devem revisar os logs de auditoria do GMS em busca de atividade incomum no Dispatcher desde 24 de julho de 2026 — data em que os CVEs foram reservados — como medida de precaução contra exploração anterior ao patch.