Due vulnerabilità zero-day critiche nei dispositivi SonicWall SMA1000 sono già sfruttate attivamente per eseguire codice da remoto. L'azienda invita a installare subito la patch, mentre restano ignoti i dettagli sugli attacchi e sugli indicatori di compromissione.
Un'ondata di attacchi mirati sta colpendo le appliance SonicWall SMA1000, sfruttando due falle zero-day che consentono l'esecuzione remota di codice. Gli aggressori hanno già iniziato a concatenare queste vulnerabilità per compromettere dispositivi usati da grandi aziende, enti pubblici e infrastrutture critiche.
La gravità della situazione è confermata dalla stessa SonicWall, che ha diffuso un avviso urgente: "SonicWall PSIRT ha investigato un caso che indica lo sfruttamento attivo delle vulnerabilità descritte in questo advisory. Si raccomanda vivamente di aggiornare subito alla hotfix release per mitigare il rischio".
Le vulnerabilità: dettagli tecnici e modelli coinvolti
Il primo difetto, identificato come CVE-2026-83548, è una falla di command injection a gravità massima nella WorkPlace interface delle SMA1000, originata da una debolezza SSRF (Server-Side Request Forgery). Il secondo, CVE-2026-83549, riguarda la Management Console e permette a un utente amministratore di eseguire comandi arbitrari sul sistema operativo.
Entrambe le vulnerabilità colpiscono i modelli SMA1000 6210, 7210 e 8200v. Restano invece immuni sia le soluzioni SSL-VPN integrate nei firewall SonicWall sia la linea SMA 100 Series.
Risposta di SonicWall e raccomandazioni operative
SonicWall ha rilasciato una hotfix che deve essere installata immediatamente su tutte le appliance fisiche e virtuali SMA1000. In caso di sospetta compromissione, l'azienda consiglia di re-installare il firmware, cambiare tutte le password di utenti e amministratori e resettare i token TOTP. Tuttavia, non sono stati ancora diffusi dettagli sugli indicatori di compromissione (IOC) né sulle modalità precise degli attacchi in corso.
Secondo Shadowserver, oltre 400 dispositivi SMA1000 risultano esposti su Internet, anche se alcuni potrebbero già essere stati aggiornati. La mancanza di informazioni pubbliche sugli IOC complica la vita agli amministratori, costretti a intervenire alla cieca per prevenire intrusioni.
Un pattern di attacchi che si ripete
Non è la prima volta che SonicWall si trova al centro di campagne di sfruttamento zero-day. Solo a luglio, due altre vulnerabilità (CVE-2026-15409 e CVE-2026-15410) sono state usate per settimane per installare malware personalizzato sulle VPN SMA1000. Più recentemente, la CISA statunitense ha confermato che gruppi ransomware hanno iniziato a sfruttare attivamente queste falle.
Nel dicembre scorso, SonicWall aveva già dovuto correre ai ripari per una vulnerabilità (CVE-2025-40602) che permetteva agli attaccanti di ottenere privilegi root. E a settembre, la società ha attribuito a hacker sponsorizzati da stati una violazione che ha esposto i backup delle configurazioni firewall dei clienti, dopo che erano stati compromessi oltre 100 account SSLVPN tramite credenziali rubate.
Impatto e rischi per le organizzazioni italiane
Le SMA1000 sono diffuse in ambienti enterprise e pubblici anche in Italia, dove la sicurezza delle VPN è cruciale per la continuità operativa. La catena di exploit attuale, unita alla scarsità di dettagli tecnici sugli attacchi, espone le organizzazioni a rischi elevati di compromissione e interruzione dei servizi.
Il quadro ricorda quanto già riportato recentemente per altre vulnerabilità zero-day: la rapidità di risposta e la trasparenza sulle minacce sono determinanti per limitare i danni.
La gestione delle vulnerabilità da parte di SonicWall mostra una preoccupante ricorrenza di falle critiche e patch rilasciate solo dopo che gli attacchi sono già in corso. L'assenza di dettagli sugli indicatori di compromissione lascia le aziende in balia degli eventi, costrette a operare in modalità reattiva anziché preventiva. In un contesto dove le appliance di accesso remoto sono bersagli privilegiati, la fiducia nei fornitori di sicurezza non può più basarsi solo sulle patch d'emergenza: serve una strategia di trasparenza e prevenzione reale, altrimenti il prossimo zero-day è solo questione di tempo.
