Lỗ hổng nghiêm trọng trên SonicWall SMA 1000 bị khai thác chỉ vài ngày sau khi có bản vá

Chỉ vài ngày sau khi thông tin về lỗ hổng bảo mật nghiêm trọng trên các thiết bị SonicWall Secure Mobile Access (SMA) 1000 được công bố, giới tội phạm mạng đã bắt đầu thực hiện các chiến dịch khai thác thực tế.

Lỗ hổng này được định danh là CVE-2026-102255 với điểm CVSS tuyệt đối là 10.0. Đây là lỗi Server-Side Request Forgery (SSRF) không cần xác thực, cho phép kẻ tấn công từ xa điều khiển thiết bị thực hiện các yêu cầu trái phép, từ đó truy cập vào các chức năng nội bộ và thực thi các thao tác không được cấp quyền.

SonicWall đã phát hành các bản vá cho lỗ hổng này vào ngày 6 tháng 10 năm 2026, cụ thể là các phiên bản 12.4.3-03670 và 12.5.0-03082 (dạng platform-hotfix). Tuy nhiên, dữ liệu từ các công ty tình báo đe dọa như Defused Cyber và Previdian cho thấy những dấu hiệu khai thác đầu tiên đã xuất hiện từ ngày 8 tháng 10.

Theo thống kê từ Previdian, đã có 135 nỗ lực khai thác được ghi nhận từ hai địa chỉ IP tại Hoa Kỳ. Mặc dù SonicWall chưa cập nhật thông báo chính thức về việc lỗ hổng này đang bị khai thác tích cực, nhưng tốc độ phản ứng của các nhóm tấn công cho thấy mức độ nguy hiểm của CVE-2026-102255.

Đây không phải là lần đầu tiên dòng sản phẩm SMA 1000 trở thành mục tiêu. Trước đó, vào tháng 6 năm 2026, các lỗ hổng CVE-2026-15409 và CVE-2026-15410 cũng từng bị nhóm tin tặc UTA0533 khai thác dưới dạng zero-day để triển khai web shell và malware KNUCKLEBALL. Các chuyên gia từ Rapid7 cảnh báo rằng, khi chiếm được quyền kiểm soát thiết bị, kẻ tấn công thường trích xuất thông tin xác thực, cơ sở dữ liệu phiên làm việc và cấu hình MFA (TOTP), sau đó thực hiện di chuyển ngang (lateral movement) để xâm nhập sâu vào mạng lưới doanh nghiệp.

Người dùng các thiết bị SonicWall SMA 1000 được khuyến cáo cần kiểm tra và cập nhật lên phiên bản mới nhất ngay lập tức để tránh các rủi ro bị tấn công xâm nhập hệ thống.

Nguồn tham khảo: The Hacker News