שני יום-אפס ב-SonicWall SMA1000 מנוצלים בפועל; שרשור להרצת קוד מרחוק

SonicWall מזהירה מפני שתי פגיעויות ב-SMA1000, סדרת מכשירי הגישה המאובטחת (secure access) שלה, שמנוצלות יחד בהתקפות פעילות. שרשור בין השתיים מאפשר לתוקף לא מזוהה להשתלט על המכשיר ולהריץ עליו קוד מרחוק — ללא צורך בפרטי התחברות כלל.

מזהה	CVE-2026-83548 ו-CVE-2026-83549
מוצר וגרסאות מושפעות	SonicWall SMA1000 — דגמים 6210, 7210, 8200v (לא כולל SSL-VPN בחומות האש של SonicWall ולא כולל סדרת SMA 100)
חומרה	CVE-2026-83548: CVSS 10.0 (קריטית) · CVE-2026-83549: CVSS 7.8 (חמורה)
מנוצל בפועל	כן — אישרה SonicWall PSIRT
סטטוס תיקון	הוטפקסים 12.4.3-03526, 12.5.0-02952 ומעלה, זמינים דרך MySonicWall

מה קרה

CVE-2026-83548 היא פגיעות SSRF ללא צורך באימות בממשק Work Place של המכשיר, שניתנת לניצול מרחוק. CVE-2026-83549 היא פגיעות הזרקת פקודות מערכת בקונסולת הניהול (AMC), שדורשת הרשאות מנהל אך מאפשרת הרצת פקודות שרירותיות. SonicWall מדווחת שראתה מקרים המצביעים על שרשור בין השתיים בהתקפות בשטח, כלומר שימוש בפגיעות הראשונה כדי להגיע לתנאים הדרושים לניצול השנייה ולהשיג הרצת קוד מלאה על המכשיר.

זהו אירוע הניצול השני בשרשרת דומה (SSRF להזרקה) שפוגע במכשירי SMA1000 תוך כשבעה שבועות, מה שמצביע על עניין מתמשך של תוקפים במוצר.

נקודות לשים לב

התקינו את ההוטפקס העדכני מיידית — SonicWall מציינת במפורש שאין workaround זמין למי שלא יכול לעדכן מיד.
אם המכשיר שלכם היה חשוף לאינטרנט בתקופה האחרונה, התייחסו אליו כאל חשוד: SonicWall ממליצה על ריענון (re-image) מלא של המכשיר ולא רק על התקנת התיקון.
אפסו את כל הסיסמאות וטוקני ה-TOTP הקשורים למכשיר לאחר הטיפול, כדי לשלול שימוש חוזר באישורים שדלפו.
פנו לתמיכה הטכנית של SonicWall לבדיקת סימני פריצה (IoC) ספציפיים — החברה טרם פרסמה רשימת סימנים פומבית.
אם המכשיר שלכם הוא מדגמים 6210, 7210 או 8200v, אל תניחו שסדרת SMA 100 או ה-SSL-VPN בחומות האש שלכם מושפעים — הפגיעות ספציפית לסדרת SMA1000.