CISA conferma che gruppi ransomware stanno sfruttando due vulnerabilità appena corrette nei gateway SonicWall SMA1000, tra cui una SSRF di gravità massima. L’agenzia invita a installare subito le patch per ridurre i rischi.
L’Agenzia statunitense per la sicurezza informatica (CISA) ha confermato che gruppi ransomware stanno attivamente sfruttando due vulnerabilità recentemente corrette nei dispositivi SonicWall SMA1000, tra cui una falla SSRF classificata come di massima gravità. Gli SMA1000 sono gateway per accesso remoto sicuro utilizzati da grandi aziende, enti pubblici e fornitori di servizi gestiti per offrire VPN verso reti e applicazioni interne.
SonicWall aveva rilasciato le patch per le due vulnerabilità (CVE-2026-15409 e CVE-2026-15410) a metà luglio, avvertendo che erano già oggetto di attacchi zero-day. “SonicWall PSIRT ha indagato su diversi casi che indicano lo sfruttamento attivo delle vulnerabilità descritte in questo avviso”, aveva dichiarato l’azienda, raccomandando l’aggiornamento immediato dei dispositivi.
Attacchi mirati e malware personalizzati
Secondo l’azienda di risposta agli incidenti Volexity, un gruppo identificato come UTA0533 avrebbe iniziato a sfruttare le falle già dal 22 giugno, settimane prima della divulgazione pubblica, per installare malware personalizzati come KNUCKLEBALL, Sou5, ROOTRUN e ORANGETAIL sui dispositivi VPN vulnerabili.
Il progetto Shadowserver monitora attualmente oltre 380 appliance SMA1000 esposte su Internet, anche se alcune potrebbero già essere state messe in sicurezza.
Obbligo di patch per le agenzie federali USA
Il 14 luglio, CISA ha inserito le due vulnerabilità nel suo catalogo Known Exploited Vulnerabilities (KEV), imponendo alle agenzie federali civili statunitensi di applicare le patch entro tre giorni. “Questo tipo di vulnerabilità rappresenta un vettore di attacco frequente e un rischio significativo per l’infrastruttura federale”, ha sottolineato l’agenzia.
Sebbene SonicWall non abbia ancora aggiornato il proprio avviso per confermare l’uso delle falle in attacchi ransomware, CISA ha ora segnalato ufficialmente che CVE-2026-15409 e CVE-2026-15410 sono sfruttate anche da gruppi ransomware, aggiornando il catalogo KEV.
Precedenti e rischi per la sicurezza
Non è la prima volta che SonicWall SMA1000 finisce nel mirino: a dicembre l’azienda aveva avvertito di un’altra vulnerabilità (CVE-2025-40602) sfruttata in attacchi zero-day per ottenere privilegi root. A novembre, SonicWall aveva collegato un attacco a hacker sponsorizzati da stati che avevano compromesso backup di configurazione firewall di alcuni clienti. Sempre a settembre, era stato distribuito un aggiornamento firmware per rimuovere il rootkit OVERSTEP dai dispositivi SMA 100 series.
La situazione sottolinea l’urgenza di mantenere aggiornati i dispositivi di accesso remoto e VPN, soprattutto in contesti aziendali e pubblici, per prevenire intrusioni e attacchi ransomware sempre più sofisticati.
