Tehdit aktörlerinin, kamuya açıklanmasından günler sonra SonicWall Secure Mobile Access (SMA) 1000 cihazlarındaki yeni açıklanan kritik güvenlik açığını istismar ettiği görüldü.
Açık CVE-2026-102255 olarak izleniyor ve CVSS puanı 10.0. Kimlik doğrulaması gerektirmeyen sunucu tarafı istek sahteciliği türündeki bu açık, uzaktan bir saldırganın cihazı kendi adına istek göndermeye yönlendirmesine, dahili işlevlere ulaşmasına ve yetkisiz işlemler yapmasına olanak tanıyabiliyor.
SonicWall, açık için yamaları 6 Ekim 2026'da yayınladı. Platform-hotfix sürümleri 12.4.3-03670 ve 12.5.0-03082 olarak duyuruldu.
Açık, kamuya açıklanmasının ardından aktif istismar girişimlerine maruz kalmaya başladı. İlk işaretler tehdit istihbaratı firmaları Defused Cyber ve Previdian tarafından 8 Ekim 2026'da tespit edildi.
Previdian verilerine göre bugüne kadar ABD'de bulunan iki farklı IP adresinden toplam 135 saldırı girişimi gözlendi. SonicWall, danışma metnini aktif istismar durumunu yansıtacak şekilde henüz güncellemedi.
CVE-2026-102255, SonicWall SMA 1000 cihazlarını etkileyen ve aktif olarak istismar edilen en yeni açık oldu. Haziran 2026'da aynı üründeki CVE-2026-15409 (CVSS 10.0) ve CVE-2026-15410 (CVSS 7.2) açıkları, UTA0533 kod adlı tehdit aktörü tarafından sıfırıncı gün olarak kullanılarak Java web shell'leri ve KNUCKLEBALL adlı kötü amaçlı yazılım dağıtılmıştı.
Rapid7 de tehdit aktörlerinin açıkları internete açık cihazlara karşı kullandığını ve cihazları işletim sistemi üzerinde komut çalıştırmak, uzun süreli ve kalıcı erişim sağlamak için gizli bir ilk erişim vektörü olarak kullandığını belirtti.
Şirketin açıklamasına göre, "Cihazda tutunma sağlandıktan sonra aktörler sistematik olarak yüksek değerli kimlik bilgilerini, aktif oturum veritabanlarını ve Zaman Tabanlı Tek Kullanımlık Şifre (TOTP) çok faktörlü kimlik doğrulama (MFA) tohum yapılandırmalarını çıkardı."
"Bu toplanan kaynaklarla tehdit aktörleri hızla yatay hareket etmeye geçti ve tehlikeye atılan cihazdan doğrudan iç kurumsal ağa geçiş yaptı."
