SonicWall SMA 1000 严重漏洞修补后遭 135 次利用尝试

在 SonicWall Secure Mobile Access（SMA）1000 设备中一个近期披露的严重安全漏洞公开披露后数天内，就观察到威胁行为者对其加以利用。

该漏洞被追踪为 CVE-2026-102255（CVSS 评分：10.0），属于一种预认证服务端请求伪造（SSRF），可能允许远程攻击者"指示设备代表其发起请求，并触及内部功能、执行未经授权的操作"。

该漏洞的补丁由 SonicWall 于 2026 年 10 月 6 日发布，版本为 12.4.3-03670（平台热修复）和 12.5.0-03082（平台热修复）。

此后该漏洞开始出现活跃利用尝试，最早迹象由威胁情报公司 Defused Cyber 和 Previdian 于 2026 年 10 月 8 日检测到。

Previdian 的数据显示，迄今为止共观察到来自两个位于美国的唯一 IP 地址的 135 次尝试。SonicWall 尚未更新其公告以反映该漏洞正被活跃利用。

CVE-2026-102255 是影响 SonicWall SMA 1000 设备、遭活跃利用的最新漏洞。2026 年 6 月，同一产品中的另外两个漏洞（CVE-2026-15409，CVSS 评分：10.0，以及 CVE-2026-15410，CVSS 评分：7.2）被一个代号为 UTA0533 的威胁行为者作为零日漏洞武器化，用于部署 Java web shell 和一个名为 KNUCKLEBALL 的恶意软件。

Rapid7 也表示，它观察到威胁行为者利用这些漏洞针对面向互联网的设备，并将其用作隐蔽的初始访问途径，在操作系统上执行命令并确保长期、持久的访问。

"一旦他们在设备上站稳脚跟，行为者便系统性地提取高价值凭证、活跃会话数据库以及基于时间的一次性密码（TOTP）多因素认证（MFA）种子配置，" 该公司指出。

"凭借这些搜集到的资源，威胁行为者迅速转向横向移动，从被入侵的设备直接转向内部企业网络。"