SonicWall SMA1000: kritieke kwetsbaarheid met CVSS 10 al binnen dagen onder vuur, dit is er bekend

Dit sluit aan op onze berichtgeving over Citrix NetScaler en Palo Alto en Fortinet: weer een VPN-gateway aan de rand van het netwerk, weer een fout waarvoor geen inlog nodig is.

Overzicht

Wat is er aan de hand?

SonicWall publiceerde op 6 oktober 2026 beveiligingsbulletin SNWLID-2026-0017 met updates voor vier kwetsbaarheden in zijn SMA1000-reeks. De ernstigste is CVE-2026-102255: een server-side request forgery in de Appliance WorkPlace-interface, die volgens SonicWall ontstaat door "een onbedoeld alternatief toegangspad". Een aanvaller zonder account kan het apparaat zo aanzetten om verzoeken te doen die het normaal niet zou doen, en daarmee bij interne functies komen. Wat die toegang in het slechtste geval oplevert, zegt SonicWall niet in detail; Security.NL schreef dat een aanvaller ongeautoriseerde acties op het apparaat kan uitvoeren.

De SMA1000 is een gateway voor veilige externe toegang, die onder meer VPN-functionaliteit en load balancing biedt. De SMA 100-reeks en de SSL-VPN-functie op SonicWall-firewalls zijn niet getroffen.

De andere drie kwetsbaarheden in het bulletin hebben inloggegevens van een beheerder nodig: een commandoinjectie (CVE-2026-102256), een zip-slip in de beheerconsole (CVE-2026-102257) en een opgeslagen cross-site scripting-fout (CVE-2026-102258). Zij zijn minder acuut, maar worden met dezelfde update gedicht.

Wat is bekend over misbruik

Dit verdient nuance, want de berichten lopen uiteen.

• SonicWall zelf schreef in het bulletin dat er geen bewijs is dat een van de gedichte kwetsbaarheden wordt misbruikt.
• Previdian en Defused meldden op 9 oktober aanvalspogingen die overeenkomen met CVE-2026-102255. Previdian ziet ze op zijn honeypotnetwerk; oprichter Ryan Dewhurst bevestigde dat volgens Forkast aan BleepingComputer, een bron die wij zelf niet konden raadplegen. De verzoeken gaan naar de WorkPlace-interface en laten het apparaat contact leggen met een interne database op 127.0.0.1:5984. Volgens een bericht begonnen die pogingen binnen een dag na de bekendmaking.
• Succes is niet bevestigd. Een aanvalspoging op een honeypot zegt dat iemand zoekt, niet dat een echt apparaat is overgenomen. Een bericht dat de fout "actief misbruikt" noemt, gaat verder dan wat er is aangetoond.
• CISA had de kwetsbaarheid op het moment van schrijven nog niet in de lijst van actief misbruikte kwetsbaarheden. In die lijst staan 19 SonicWall-lekken.

Dat is geen geruststelling. Het product heeft een slechte recente historie: Field Effect meldt dat SonicWall in juli en september al eerder SMA1000-kwetsbaarheden dichtte die in het wild werden misbruikt, en Security.NL schrijft dat eerdere fouten in het product zijn gebruikt bij ransomware-aanvallen. Dat die eerdere aanvallen niets zeggen over deze kwetsbaarheid, benadrukt Field Effect zelf. Het zegt wel iets over hoe snel aanvallers zich op dit type apparaat storten.

Volgens Shadowserver zijn er meer dan 400 SMA1000-apparaten vanaf internet bereikbaar. Dat is weinig vergeleken met de tienduizenden NetScalers, maar dit zijn per definitie apparaten die organisaties gebruiken voor toegang op afstand.

Welke versies zijn kwetsbaar?

Dit gaat over de platform-hotfixes. Let op: ook een apparaat dat voor de kwetsbaarheden van september al is bijgewerkt, kan hier onder vallen. Een tijdelijke maatregel noemt SonicWall niet.

Wat u nu kunt doen

1. Stel vast of u een SMA1000 heeft. Het gaat om de modellen 6210, 7210 en de virtuele 8200v. Vergeet ook een apparaat bij een leverancier of in een testomgeving niet.
2. Controleer de exacte hotfix-versie en vergelijk die met de tabel hierboven.
3. Installeer de update zo snel mogelijk, maar volg de volgorde die we ook bij Citrix aanhielden: bewaar eerst de logbestanden en een snapshot of back-up, zodat achteraf te zien is of er iets is gebeurd.
4. Beperk de bereikbaarheid van Appliance WorkPlace. Field Effect adviseert de toegang te beperken tot geautoriseerde gebruikers, vertrouwde netwerken en goedgekeurde regio's, en uitgaand verkeer van het apparaat te beperken tot wat nodig is. Een officiële tijdelijke maatregel van SonicWall is er niet.
5. Zoek in de logbestanden naar de patronen uit de meldingen. Let op verzoeken met de methode OPTIONS aan de WorkPlace-interface, op uitgaande verbindingen van het apparaat en op onverwachte beheerdersacties of configuratiewijzigingen. Stuur de logs naar een centraal systeem buiten het apparaat; een overgenomen apparaat kan zijn eigen logs aanpassen.
6. Vindt u sporen, volg dan hetzelfde stappenplan als bij een overgenomen edge device: eerst isoleren en bewijs veiligstellen, dan de inloggegevens vervangen die via het apparaat lopen, en pas daarna herstellen. Voor organisaties onder de Cyberbeveiligingswet loopt de meldtermijn vanaf het moment van constateren.

Wat nog onduidelijk is

• Wat de SSRF in het slechtste geval precies oplevert, en of aanvallers daarmee echt binnenkomen.
• Of de drie andere kwetsbaarheden worden misbruikt.
• Hoeveel van de 400 blootgestelde apparaten al zijn bijgewerkt. Een scan van buitenaf kan niet zien welke kwetsbaar zijn.

Bronnen

• SonicWall PSIRT – SNWLID-2026-0017
• Security.NL – SonicWall SMA1000-kwetsbaarheid actief misbruik bij aanvallen (9 oktober 2026)
• Field Effect – SonicWall fixes maximum severity SMA1000 vulnerability
• Forkast – SonicWall SMA 1000's latest SSRF door was being walked through within 24 hours of disclosure
• CISA – Known Exploited Vulnerabilities Catalog