Aanvallers misbruiken actief de kritieke SSRF-kwetsbaarheid CVE-2026-102255 in SonicWall SMA1000-appliances, amper drie dagen na de hotfix die SonicWall afgelopen dinsdag uitbracht. Dat meldt BleepingComputer. Eerder berichtten we al over de kwetsbaarheid zelf en het bijbehorende NCSC-advies, destijds nog zonder bevestigd misbruik.
Beveiligingsonderzoeker Ryan Dewhurst, oprichter van Previdian, zag via zijn honeypot-netwerk exploitatiepogingen die passen bij deze kwetsbaarheid. De aanvallen richten zich op de WorkPlace Extraweb-interface en gebruiken een speciaal opgemaakt OPTIONS-verzoek om de interne CouchDB-service van de appliance op 127.0.0.1:5984 te bereiken. De payload roept een CouchDB-designdocument aan en voegt een Basic Authorization-header met standaardreferenties toe. Het gaat om dezelfde WorkPlace-interface als eerdere SSRF-fouten uit juli en september, maar met een andere exploitatietechniek. Dewhurst benadrukt dat nog niet vaststaat of de pogingen ook daadwerkelijk tot een geslaagde inbraak hebben geleid.
Shadowserver telt internationaal meer dan vierhonderd SMA1000-appliances die rechtstreeks vanaf het internet bereikbaar zijn, al is onbekend hoeveel daarvan honeypots zijn of inmiddels al gepatcht zijn. CISA voegde de afgelopen vier jaar al 19 SonicWall-kwetsbaarheden toe aan de KEV-catalogus, waarvan dertien later ook door ransomwaregroepen zijn ingezet.
Heeft u een SMA1000 in gebruik en nog niet gepatcht na de hotfix van afgelopen dinsdag? Doe dat dan nu met voorrang en controleer de logging van de WorkPlace-interface op OPTIONS-verzoeken richting ongebruikelijke interne doelen. Gezien het patroon van de afgelopen maanden is de kans reëel dat ook deze SMA1000-kwetsbaarheid alsnog aan ransomware-aanvallen wordt gekoppeld.
Update 13 oktober: Threat-intelligencebedrijf Previdian telt inmiddels 135 exploitatiepogingen tegen CVE-2026-102255, afkomstig van twee unieke Amerikaanse IP-adressen, meldt The Hacker News. SonicWall zelf heeft de advisory nog niet bijgewerkt om actief misbruik te bevestigen, maar de cijfers van Previdian onderstrepen dat de kwetsbaarheid breder wordt beproefd dan bij de eerste waarnemingen van Dewhurst.
Bron: BleepingComputer, The Hacker News
Wat betekent dit voor jouw bedrijf?
Heeft u een SonicWall SMA1000 en nog niet gepatcht na de hotfix van afgelopen dinsdag? Doe dat nu met voorrang: de kwetsbaarheid wordt inmiddels actief misbruikt.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.