Saldırganlar şu anda SMA 1000 cihazlarındaki kritik bir açığı hedef alıyor, bu durum SonicWall müşterilerini tanıdık ama istenmeyen bir konuma itiyor.
SonicWall müşterileri bir kez daha savunmada. Tehdit aktörleri siber güvenlik sağlayıcısının birleşik güvenli erişim geçidi olan Secure Mobile Access, yani SMA cihazındaki maksimum şiddetli bir açığı aktif olarak istismar ediyor.
CVE-2026-102255, SonicWall SMA 1000 cihazının WorkPlace arayüzündeki sunucu tarafı istek sahteciliği, yani SSRF açığıdır. WorkPlace, uzaktan kullanıcılar için web tabanlı bir portaldır. Üreticinin duyurusuna göre açık, “istenmeyen alternatif erişim yolu”ndan kaynaklanıyor. SonicWall açığa 10 üzerinden 10 CVSS puanı verdi.
“Bu yolu kötüye kullanarak, kimliği doğrulanmamış uzak bir saldırgan bu açığı istismar ederek cihazı kendi adına istek göndermeye yönlendirebilir, dahili işlevlere ulaşabilir ve yetkisiz işlemler gerçekleştirebilir” ifadesini SonicWall, 6 Ekim’de yayımlanan duyuruda kullandı.
Bundan sadece birkaç gün sonra iki siber güvenlik firması bal peteği cihazlarında CVE-2026-102255 için istismar faaliyeti tespit ettiklerini bildirdi. 9 Ekim’de siber tehdit istihbarat firması Previdian, sosyal medya platformu X’teki paylaşımında sensörlerinde istismar girişimleri gözlemlediğini açıkladı. Benzer şekilde siber güvenlik firması Defused, şirketin SonicWall SMA yem cihazlarında bir gün önce başlayan kimliği doğrulanmamış SSRF trafiği gördüğünü X’te duyurdu.
SonicWall geçen hafta CVE-2026-102255’in veya duyurudaki diğer üç CVE’nin gerçek dünyada istismar edildiğine dair “şu anda kanıt olmadığını” söyledi. Dark Reading, üçüncü taraf firma raporları hakkında yorum istemek için SonicWall’a ulaştı ancak şirket baskı anında yanıt vermedi.
SMA WorkPlace arayüzüne yönelik SSRF saldırıları
CVE-2026-102255’in teknik detayları henüz yayımlanmadı ancak CVSS puanı açığın istismar edilmesinin kolay olabileceğini gösteriyor. SOCRadar araştırmacıları Pazartesi günü yayımlanan bir blog yazısında, SMA 1000 cihazlarındaki açığın başarılı istismarının saldırgana WorkPlace arayüzünün kontrolünü vereceğini belirtti. SMA cihazı, şirket içi, bulut ve hibrit ortamlardan kurumsal kaynaklara SSL VPN, istemcisi olmayan uzaktan erişim ve sıfır güven ağ erişimi sağlıyor.
“Pratikte, internete bakan geçit normalde dışarıdan erişilemeyen hizmetlere bir vekil olarak hareket edebilir” diye yazdı SOCRadar araştırmacıları.
SMA 1000 cihazları tipik olarak genel internet ile kurumsal uygulamalar, kimlik hizmetleri ve dahili ağ altyapısı arasında yer aldığı için WorkPlace arayüzü tehdit aktörleri için cazip bir hedef oluşturuyor. “WorkPlace arayüzü dahili istekler göndermek için kötüye kullanılırsa, saldırgan internete erişilmesi amaçlanmamış hizmetlerle etkileşime girebilir” diye yazdı araştırmacılar.
SonicWall açık için bir sıcak düzeltme yayımladı ve müşterilerin mümkün olan en kısa sürede uygulaması çağrısında bulundu. Siber güvenlik firması, SonicWall güvenlik duvarlarında çalışan SSL-VPN’lerin veya SMA 100 Serisi ürün hattının CVE-2026-102255’ten veya geçen hafta duyurulan diğer üç CVE’den etkilenmediğini söyledi.
SonicWall müşterileri için yüksek riskler ve maliyetler
CVE-2026-102255, SonicWall müşterilerinin bu yıl diğer SonicWall ürünlerine yönelik birden fazla tehdidi yönetmek zorunda kaldığı bir dönemde karşılaştığı son istismar edilen açık. Temmuzda Inc fidye yazılımı çetesi, SMA 1000 Serisi cihazlarındaki CVE-2026-15409 ve CVE-2026-15410 açıklarını istismar eden sıfırıncı gün saldırıları başlattı.
SSL-VPN’ler gibi kenar cihazları son yıllarda çeşitli tehdit aktörleri için oldukça popüler hedefler oldu. Siber sigortacı Coalition’da siber güvenlik sigortası bölümünden sorumlu başkan yardımcısı Joe Toomey, bu cihazların ve sık istismar edilen açıklarının yarattığı riskin ölçülebilir olduğunu, tipik olarak siber sigorta müşterilerinden çok sayıda talep getirdiğini söylüyor.
“Bu alanda büyük suçlular büyük ölçüde güvenlik sınırı cihazları ve kenar cihazlarıdır. SSL VPN cihazları neredeyse tek tip olarak kötüdür” dedi Toomey Dark Reading’e. “Hiçbiri iyi değil ve bazıları daha da kötü.”
Toomey, eski kenar cihazlarının riskinin siber sigortacının fiyatlandırma modelinde yansıdığını, şirketin talep verilerine göre modeli sürekli geliştirdiğini söylüyor.
“Hem teknoloji hem de satıcı düzeyinde, Coalition’dan teklif alacağınız primin büyük ölçüde şirketinizden dışarıya açık olanla ilgili olduğunu söyleyebilirim” dedi. “Ve kötü talep geçmişine sahip bir satıcı kullanıyorsanız, o satıcıyı kullanmasaydınız olduğundan önemli ölçüde daha yüksek bir prim ödersiniz.”
Toomey, sıfır güven çözümlerini kullanmayı ve eski SSL-VPN’lerden uzaklaşmayı güçlü şekilde öneriyor.
“Altı farklı teknoloji benimseyebilirsiniz” dedi, “hepsi bizimle daha ucuz bir prim almanızı sağlar ve eski SSL-VPN cihazlarını kullansaydınız olduğundan önemli ölçüde daha az talep görme olasılığınızı artırır.”
