SonicWall แจ้งเตือนช่องโหว่บน SMA1000 กำลังถูกนำไปใช้ในการโจมตีแบบ Zero-day แนะนำให้อัปเดตแพตช์ทันที

SonicWall ออกประกาศแจ้งเตือนว่ากลุ่มผู้ไม่หวังดีกำลังใช้ประโยชน์จากช่องโหว่ของ SMA1000 จำนวน 2 รายการ ซึ่งมีหมายเลข CVE-2026-15409 และ CVE-2026-15410 ถูกนำมาใช้ในการโจมตีแบบ Zero-day พร้อมแนะนำให้ลูกค้าติดตั้งอัปเดตแพตช์ด้านความปลอดภัยที่เพิ่งปล่อยออกมาใหม่โดยด่วน

CVE-2026-15409 เป็นช่องโหว่ที่มีความรุนแรงระดับ Critical (CVSS 10.0) ประเภท Server-Side Request Forgery (SSRF) ในหน้าอินเทอร์เฟซ SMA1000 Appliance Work Place ซึ่งอาจทำให้ผู้โจมตีจากภายนอกที่ไม่ต้องผ่านการยืนยันตัวตน สามารถบังคับให้อุปกรณ์ส่ง Requests ไปยังปลายทางที่ไม่พึงประสงค์ได้

CVE-2026-15410 เป็นช่องโหว่ที่มีความรุนแรงระดับสูง (CVSS 7.2) ประเภท Code Injection ที่เกิดขึ้นหลังจากการยืนยันตัวตน ใน SMA1000 Appliance Management Console ซึ่งอาจทำให้ผู้ดูแลระบบจากภายนอกที่ผ่านการยืนยันตัวตนแล้ว สามารถรัน Commands บนระบบปฏิบัติการได้ตามที่ต้องการ

แม้ว่าช่องโหว่ CVE-2026-15410 จะต้องใช้สิทธิ์ระดับผู้ดูแลระบบ แต่ทาง SonicWall ก็ได้กำหนดคะแนนความรุนแรง CVSS โดยรวมไว้ที่ 10.0 คะแนน

SonicWall ระบุว่า ได้ทำการตรวจสอบเหตุการณ์ที่เกิดขึ้นหลายกรณี และยืนยันว่าช่องโหว่ทั้งสองรายการนี้กำลังถูกนำไปใช้ในการโจมตีอยู่จริงในปัจจุบัน

SonicWall ระบุว่า "ทีม PSIRT ของ SonicWall ได้ตรวจสอบกรณีต่าง ๆ มีหลายกรณีที่แสดงให้เห็นถึงการใช้ประโยชน์จากช่องโหว่ตามที่ระบุไว้ในประกาศแจ้งเตือนฉบับนี้เพื่อโจมตีจริง"

"ขอแนะนำให้ลูกค้าอัปเกรดเป็นเวอร์ชัน Hotfix โดยเร็วที่สุดเพื่อแก้ไขช่องโหว่เหล่านี้"

อย่างไรก็ตาม ทางบริษัทยังไม่ได้เปิดเผยว่าผู้โจมตีได้นำช่องโหว่เหล่านี้มาใช้ในการโจมตีร่วมกันหรือไม่

ช่องโหว่เหล่านี้ส่งผลกระทบต่ออุปกรณ์ SMA1000 รุ่น 6210, 7210 และ 8200v ที่ทำงานบนแพลตฟอร์มเวอร์ชัน Hotfix: 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 และ 12.5.0-02800 โดยผู้ใช้งานสามารถอัปเดตแพตช์แก้ไขได้ในแพลตฟอร์มเวอร์ชัน Hotfix 12.4.3-03453 และ 12.5.0-02835 รวมถึงเวอร์ชันที่ออกตามมาหลังจากนี้

SonicWall ระบุว่าช่องโหว่ดังกล่าว ไม่ส่งผลกระทบ ต่อ SSL-VPN ที่ทำงานบน Firewalls ของ SonicWall หรือกลุ่มผลิตภัณฑ์ตระกูล SMA 100 Series

นอกจากนี้ ทางบริษัทยังได้เปิดเผย Indicators of Compromise (IOCs) เพื่อให้ผู้ดูแลระบบสามารถใช้ตรวจสอบได้ว่าอุปกรณ์ของตนถูกโจมตีหรือไม่ ดังนี้

• หากในไฟล์ extraweb_access.log มีการบันทึก requests ที่ส่งไปยัง /{}api{}/login หรือ /{}api{}/logout พร้อมด้วยสถานะ HTTP 200
• หากในไฟล์ extraweb_access.log มีการบันทึก requests ที่ส่งไปยัง /wsproxy ซึ่งพารามิเตอร์ของ host มีความน่าสงสัย พร้อมด้วยสถานะ HTTP 101
• หากในไฟล์ ctrl-service.log มีการระบุถึงการ rollbacks เวอร์ชัน (Hotfix rollbacks) ด้วยชื่อที่มีลักษณะเป็น Path Traversal
• หากไฟล์ /var/lib/unit/conf.json มีการระบุ routes สำหรับ /{}api{}/login หรือ /{}api{}/logout (เนื่องจาก URI เหล่านี้จะไม่มีอยู่จริงในการตั้งค่าระบบที่ถูกต้องตามปกติ)

SonicWall ขอแนะนำให้ทำการอัปเกรดเป็นเวอร์ชัน Hotfix ล่าสุด และดำเนินการวิเคราะห์เพื่อตรวจสอบว่ามีร่องรอยของการถูกโจมตีระบบ (IOCs) อยู่หรือไม่

หากตรวจพบว่าอุปกรณ์ถูกโจมตี ทางบริษัทแนะนำให้ผู้ดูแลระบบดำเนินการ Re-image สำหรับ Physical Appliance หรือทำการ deploy ใหม่สำหรับ Virtual Appliance ทั้งหมด พร้อมทั้งเปลี่ยนรหัสผ่านของผู้ใช้งาน และผู้ดูแลระบบทั้งหมด และทำการรีเซ็ต TOTP Token ใหม่

นอกจากนี้ SonicWall ยังระบุด้วยว่า ไม่มีวิธีแก้ปัญหาชั่วคราว หรือมาตรการลดผลกระทบอื่นใดสำหรับช่องโหว่เหล่านี้ นอกจากการติดตั้งแพตช์ Hotfix เท่านั้น

CISA ได้เพิ่มช่องโหว่ทั้งสองรายการนี้ลงในรายการช่องโหว่ที่ถูกนำไปใช้ในการโจมตีจริงแล้ว (KEV) ซึ่งเป็นการยืนยันว่าช่องโหว่เหล่านี้กำลังถูกนำไปใช้ในการโจมตีอยู่จริง

หน่วยงานรัฐบาลกลางของสหรัฐฯ มีกำหนด Deadline ภายในวันที่ 17 กรกฎาคม 2026 ในการรักษาความปลอดภัยระบบที่ได้รับผลกระทบตามคำสั่ง Binding Operational Directive (BOD) 26-04 หรือหากไม่สามารถดำเนินการแก้ไขได้ จำเป็นต้องยุติการใช้งานผลิตภัณฑ์นั้น ๆ ทันที

ที่มา : Bleepingcomputer