Duas falhas de dia zero no SonicWall SMA 1000 são encadeadas para execução remota de código sem autenticação

A SonicWall revelou duas vulnerabilidades de dia zero em seus aparelhos da série SMA 1000 que atacantes estão encadeando ativamente para alcançar execução remota de código sem autenticação (RCE) — ou seja, um invasor pode assumir controle total do dispositivo sem nunca precisar fazer login. A falha mais grave, CVE-2026-83548, é uma vulnerabilidade de falsificação de requisição do lado do servidor (SSRF) pré-autenticação na interface Work Place do aparelho, com a pontuação máxima possível na escala CVSS: 10,0. A segunda, CVE-2026-83549, é uma vulnerabilidade de injeção de comandos do sistema operacional pós-autenticação no console de gerenciamento do aparelho (AMC), com pontuação 7,8.

Isoladamente, cada falha é séria, mas contida. Juntas, formam um caminho completo de comprometimento: o atacante usa a falha SSRF não autenticada para alcançar internamente o console de gerenciamento, e então avança através da falha de injeção de comandos para executar comandos arbitrários do sistema operacional — tudo isso sem precisar de uma credencial válida. A SonicWall afirmou ter «investigado um caso que indica a exploração ativa das vulnerabilidades», confirmando que atacantes já estão usando essa cadeia no mundo real, e não se trata apenas de um risco teórico apontado por pesquisadores.

As vulnerabilidades afetam os modelos 6210, 7210 e 8200v da série SMA 1000 que rodam as versões platform-hotfix 12.4.3-03453 ou 12.5.0-02835 e anteriores. A SonicWall lançou versões corrigidas — 12.4.3-03526 e 12.5.0-02952 — e pede que os clientes atualizem imediatamente, em vez de esperar por uma janela de manutenção programada. As falhas foram descobertas internamente pelos pesquisadores da SonicWall William Perry e Adam Babis.

Os aparelhos SMA normalmente ficam na borda da rede e costumam gerenciar o acesso remoto seguro e as conexões VPN dos funcionários de uma organização. Isso os torna um alvo de alto valor: um aparelho SMA comprometido pode dar a um atacante um ponto de apoio profundo dentro da rede corporativa, contornando as camadas de segurança interna que normalmente separam um atacante externo de sistemas sensíveis. Este também não é o primeiro incidente com SMA da SonicWall neste ano; a divulgação ocorre cerca de um mês depois de a empresa corrigir outro par de falhas em SMA, CVE-2026-15409 e CVE-2026-15410, que o agente de ameaça identificado como UTA0533 explorou para instalar um malware personalizado conhecido como KNUCKLEBALL.

Além de aplicar o patch, a SonicWall recomenda que administradores busquem ativamente sinais de comprometimento anterior, em vez de presumir que está tudo bem assim que a atualização for aplicada. A orientação da empresa para organizações que encontrarem indícios de comprometimento é incomumente direta: reimagear ou reimplantar completamente o aparelho afetado, redefinir todas as senhas de usuários e administradores associadas a ele, e redefinir todas as sementes de senhas de uso único baseadas em tempo (TOTP). Esse nível de remediação reflete o quanto de confiança um aparelho de borda comprometido pode acumular silenciosamente antes que alguém perceba — tokens de sessão, credenciais em cache e sementes TOTP são coisas que uma simples reimagem pode não eliminar por completo se o atacante teve acesso ao console.

Organizações que rodam qualquer um dos modelos SMA 1000 afetados devem tratar isso como um patch de emergência, não um de rotina: aplicar o hotfix imediatamente e revisar os logs em busca do padrão de exploração descrito pela SonicWall, mesmo que o aparelho pareça estar funcionando normalmente.

Conforme relatado primeiramente por The Hacker News.