В интерфейсе Appliance WorkPlace устройств SonicWall SMA1000 обнаружена уязвимость, которая позволяет обойти механизмы контроля доступа. Атакующий может провести SSRF-атаку (серверная фальсификация запросов, когда устройство по чужому указанию обращается к внутренним ресурсам) и получить несанкционированный доступ к защищаемой информации. Запись опубликована в Банке данных угроз безопасности информации под номером BDU:2026-16180, уязвимости присвоен идентификатор CVE-2026-102255. Оценка по CVSS 3.1 - 10 из 10, критический уровень. Эксплойт уже в открытом доступе, и проблему применяют в реальных атаках.
Уязвимость CVE-2026-102255 в SonicWall SMA1000
Механика атаки строится на том, что устройство выступает посредником между внешним запросом и внутренним сегментом сети. Класс ошибки описывают два идентификатора: CWE-441, непреднамеренный прокси-сервер, и CWE-918, собственно серверная фальсификация запросов. Проверки обходятся удалённо, без учётных данных и без действий со стороны пользователя. Злоумышленнику достаточно отправить особым образом собранный запрос на уязвимый интерфейс. Дальше устройство самостоятельно обратится к нужному объекту, а ответ вернётся отправителю. Так нарушитель получает сведения, которые снаружи видеть не должен.
Класс уязвимости - многофакторная. Под угрозой сразу три свойства системы: конфиденциальность, целостность и доступность. По базовому вектору CVSS 2.0 базовая оценка тоже максимальная. Это значит, что при удачной эксплуатации нарушитель может читать защищённые данные, изменять их и нарушать работу сервиса.
Уязвимы версии до 12.4.3-03526 в ветке 12.4 и до 12.5.0-02952 в ветке 12.5. SonicWall подтвердила проблему и закрыла её в сборках с теми же номерами: 12.4.3-03526 и 12.5.0-02952. Технические подробности производитель приводит в бюллетене SNWLID-2026-0017.
Отдельного разбора требует контекст. SMA1000 - это комплекс для удалённого доступа сотрудников к корпоративным ресурсам. Такие устройства размещают на границе сети и почти всегда открывают в интернет, иначе удалённая работа теряет смысл. Обход контроля доступа на подобном узле даёт злоумышленнику доступ к внутренним сервисам, которые напрямую снаружи недоступны. Публичный эксплойт снижает требования к квалификации атакующего: готовый код способен применить и неопытный нарушитель. Именно поэтому новость важна не только для служб безопасности крупных компаний, но и для организаций, где устройством занимается один администратор.
Проверить собственный парк устройств несложно. Уязвимость затрагивает только перечисленные ветки микропрограммного обеспечения, поэтому достаточно сверить установленную версию с исправленными сборками. Если обновление уже установлено, дополнительных шагов не требуется.
Что делать
В первую очередь - обновить микропрограммное обеспечение до 12.4.3-03526 или 12.5.0-02952, ориентируясь на рекомендации производителя. Когда немедленное обновление невозможно, ограничьте доступ к интерфейсу Appliance WorkPlace доверенными адресами или внутренним сегментом, чтобы запросы снаружи до него не доходили. Полезно просмотреть журналы устройства: обращения к внутренним адресам, которые для него нетипичны, могут указывать на попытку эксплуатации. Если есть возможность изолировать комплекс в отдельном сегменте сети, это снизит ущерб при успешной атаке.
История с SMA1000 вписывается в общую картину последних лет. Устройства удалённого доступа и VPN-шлюзы привлекают злоумышленников потому, что соединяют внешнюю сеть с внутренней инфраструктурой. Одна ошибка в проверке доступа на таком узле открывает путь к десяткам внутренних систем. Производитель проблему закрыл, но парк подобного оборудования обновляют неспешно, а готовый эксплойт уже лежит в открытом доступе. Для администраторов это повод не откладывать установку исправленных сборок.
Ссылки
- https://bdu.fstec.ru/vul/2026-16180
- https://www.cve.org/CVERecord?id=CVE-2026-102255
- https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017
