Em 14 de julho de 2026 a SonicWall publicou o advisory SNWLID-2026-0008 para a CVE-2026-15409 (CVSS 10.0, SSRF não autenticada) e a CVE-2026-15410 (injeção de código) na linha SonicWall SMA1000, ambas sob exploração ativa e adicionadas ao catálogo Known Exploited Vulnerabilities da CISA. Para o SOC, a consequência é direta: a cadeia transforma um gateway de acesso remoto confiável em ponto de pivô interno, e o tempo de triagem manual deixou de existir. A correção não admite janela de manutenção: não existe workaround, e o appliance deve ser considerado comprometido até que logs e configuração provem o contrário.
As falhas afetam exclusivamente os modelos 6210, 7210 e 8200v do SMA1000 em builds específicas de platform-hotfix, e não atingem o SSL-VPN dos firewalls SonicWall nem a linha SMA 100 Series. O inventário da borda é, portanto, o primeiro passo de qualquer resposta.
Como a cadeia de ataque funciona
A vulnerabilidade inicial reside no recurso de proxy websocket, acessível pelo caminho /wsproxy na aplicação SonicWall WorkPlace, servida por padrão na porta 443. Ao apontar o parâmetro host para localhost, um atacante não autenticado alcança serviços internos do próprio appliance, como o processo Erlang na porta 1050 e o ctrl-service na porta 8188, enviando e recebendo tráfego TCP arbitrário.
Esse acesso é suficiente para execução remota de código: a Rapid7 demonstrou um exploit contra o processo Erlang, cujo cookie de autenticação é hardcoded, dispensando credenciais. Com execução estabelecida, a CVE-2026-15410 entrega a escalação: um path traversal no workflow remove_hotfix do ctrl-service permite que o atacante forneça um valor de hotfix com sequência de travessia apontando para um script malicioso, executado como root. O dispositivo costuma reiniciar em seguida, e o payload pode ser disparado pelo console web ou pela porta 8188. Não há workarounds; as versões corrigidas são 12.4.3-03453 e 12.5.0-02835, ou superior.
Indicadores de comprometimento nos logs
Como não há mitigação temporária, caçar indicadores separa um patch limpo de um incidente em curso. O primeiro sinal está no extraweb_access.log: requisições GET a /wsproxy retornando HTTP 101, com parâmetros host como localhost ou ::ffff:127.0.0.1, indicam o uso do túnel websocket pela CVE-2026-15409.
O segundo vetor está no ctrl-service.log: invocações de /usr/local/bin/remove_hotfix com sequências de path traversal para scripts em /tmp sinalizam a escalação para root. O arquivo /var/lib/unit/conf.json com rotas para /__api__/login ou /__api__/logout também é anômalo, pois essas rotas não existem em configuração legítima.
Para detectar o pivô, monitore logons NTLM (Windows Event ID 4624, tipo 3) em controladores de domínio originados do IP interno do appliance. Esse mesmo evento é o que analistas usam para detectar movimento lateral genérico via SMB, PsExec e WinRM, e aqui aparece sem a VPN ativa esperada. Correlacione também o endereço de origem com a faixa de IPs do provedor citado adiante.
Movimento lateral para o Active Directory
Após consolidar o acesso no appliance, os atacantes extraíram sistematicamente credenciais de alto valor, bancos de dados de sessões ativas e configurações de sementes TOTP de MFA, coleta projetada para garantir persistência que sobreviva a correções no nível de rede. Sem reaproveitar o acesso, a correção do appliance encerraria a invasão, por isso a coleta precede o pivô.
Com esses recursos, pivotaram diretamente para a rede corporativa. A Rapid7 observou uma sequência de autenticações anômalas no Active Directory sem VPN ativa, direcionadas a controladores de domínio a partir do IP interno do próprio appliance, com nomes de estação não corporativos como kali, sob o contexto da conta de serviço LDAP integrada do appliance. O equipamento havia virado uma porta dos fundos para o diretório, problema ligado ao sequestro de contas e à cadeia que antecede o ransomware.
Procedimento de resposta e contenção
Quando qualquer indicador aparece, a orientação da SonicWall é clara: realizar revisão forense completa e, confirmado o comprometimento, recriar a imagem física ou reimplantar a virtual a partir de um estado conhecido e limpo, rotacionando todas as senhas de usuário e administrador e redefinindo os tokens TOTP.
- Inventarie todos os SMA1000 e confirme o hotfix de cada um.
- Aplique 12.4.3-03453 ou 12.5.0-02835 imediatamente.
- Verifique os IOC antes de considerar o dispositivo limpo.
- Isole o appliance, preserve logs e recrie a imagem.
- Investigue o AD por autenticações anômalas do segmento.
Como etapa complementar, considere o bloqueio dos ranges de IP do provedor de hospedagem FNS Holdings Limited (ASN 206092), como 45.131.194.0/24 e 193.37.32.0/24, observados na campanha, caso não haja necessidade de negócio para esse tráfego.
Priorização com base no risco
| CVE | CVSS | Autenticação | Mecanismo | Versão corrigida |
|---|---|---|---|---|
| CVE-2026-15409 | 10.0 | Nenhuma | SSRF no /wsproxy | 12.4.3-03453 / 12.5.0-02835 |
| CVE-2026-15410 | 7.2 | Admin (ou via cadeia) | Path traversal no remove_hotfix | 12.4.3-03453 / 12.5.0-02835 |
A CISA adicionou ambos os CVEs ao KEV sob a Binding Operational Directive 26-04, com prazo federal de remediação de 17 de julho de 2026; organizações privadas não estão vinculadas, mas o KEV é o sinal público mais forte de que a falha está em uso contra alvos reais.
Por isso, appliances expostos devem ser tratados como ativos de alta prioridade para remediação: a SonicWall e a Rapid7 confirmam exploração ativa, e um gateway comprometido na borda se converte em movimento lateral interno em minutos. Documente todo o processo e integre a verificação a um playbook de resposta a incidentes recorrente, não reativo. Appliances de borda acumulam privilégio elevado, ficam expostos à internet por desenho e frequentemente recebem menos monitoração ativa do que o restante do parque, combinação que os torna alvo recorrente em qualquer fornecedor, não apenas na SonicWall. Por isso, a verificação periódica da versão de firmware e a caça a IOC devem entrar no ciclo permanente do SOC, não como reação a um advisory isolado.
