Уязвимость SonicWall SMA CVE-2026-102255 получила максимальные 10 баллов из 10 по CVSS, а попытки её эксплуатации уже зафиксировали на ловушках исследователей. Для компаний, которые используют SMA 1000 как внешний шлюз к корпоративным ресурсам, это не очередной пункт в списке обновлений: атакующий без авторизации потенциально может заставить устройство обращаться к внутренним сервисам от своего имени.
Проблема обнаружена в интерфейсе WorkPlace на устройствах Secure Mobile Access 1000. Это веб-портал для удалённых пользователей, через который организация может предоставлять SSL VPN, бесклиентский удалённый доступ и доступ по модели zero trust к ресурсам в локальной инфраструктуре, облаке или гибридной среде. Как сообщает Dark Reading, SonicWall выпустила исправление и призвала клиентов установить его как можно скорее.
CVE-2026-102255 относится к классу SSRF — server-side request forgery, или подделке серверных запросов. Такой дефект позволяет не злоумышленнику напрямую достучаться до внутреннего адреса, а публично доступному устройству сделать это по его указанию. SonicWall описывает причину как непреднамеренный альтернативный путь доступа. При успешной атаке удалённый неаутентифицированный пользователь способен направлять запросы через appliance, получать доступ к внутренней функциональности и выполнять несанкционированные операции.
Технических деталей в открытом доступе пока немного, однако скорость появления активности выглядит тревожно. 9 октября компания Previdian сообщила в X, что увидела попытки эксплуатации на собственных сенсорах. В Defused заявили, что фиксируют неаутентифицированный SSRF-трафик к своим приманкам SonicWall SMA с 8 октября. При этом ещё неделей ранее SonicWall указывала, что не располагает доказательствами эксплуатации CVE-2026-102255 и трёх других раскрытых одновременно уязвимостей в реальных атаках. Публичные наблюдения сторонних исследователей быстро сократили запас времени на спокойное планирование патча.
Риск здесь определяется не только максимальной оценкой CVSS. SMA 1000 обычно стоит ровно на границе сети: с одной стороны интернет, с другой — корпоративные приложения, службы идентификации и внутренняя инфраструктура. Если интерфейс WorkPlace можно превратить в прокси для запросов внутрь периметра, атакующий получает возможность взаимодействовать с сервисами, которые никогда не проектировались как публичные. Дальше всё зависит от сегментации, настроек доступа, доступных метаданных и конкретных внутренних приложений — но сам защитный контур уже перестаёт быть надёжной границей.
Для российских IT-команд практический вывод довольно прямой. Нужно подтвердить, есть ли в инфраструктуре именно SMA 1000, а не похожие по названию продукты SonicWall, и проверить, установлен ли hotfix производителя. SonicWall отдельно подчёркивает, что SSL VPN на её межсетевых экранах и линейка SMA 100 не затронуты ни этой, ни тремя сопутствующими уязвимостями из октябрьского бюллетеня. Инвентаризация здесь важнее предположений: внешние устройства нередко обслуживаются отдельной сетевой или аутсорсинговой командой и легко выпадают из общего процесса управления патчами.
После установки исправления стоит проверить журналы WorkPlace и сетевые события за период до патчинга: необычные запросы к внутренним адресам, обращения к служебным endpoint’ам, аномальные цепочки запросов от внешних клиентов. SSRF-атаки часто не выглядят как классический вход под чужой учётной записью, поэтому одного мониторинга неудачных попыток авторизации недостаточно. Полезно также ограничить, к каким внутренним адресам и сервисам вообще может обращаться удалённый шлюз, и убедиться, что его сервисная учётная запись не имеет лишних прав.
История особенно неприятна для клиентов SonicWall потому, что это не первый инцидент года вокруг SMA 1000. В июле группировка Inc использовала уязвимости нулевого дня CVE-2026-15409 и CVE-2026-15410 в этих устройствах для атак с вымогательским ПО. Пограничные устройства — VPN-шлюзы, средства удалённого доступа и другие сервисы, доступные из интернета, — остаются любимой точкой входа атакующих: их нельзя спрятать за периметром, а ошибка в одном компоненте способна открыть путь ко многим.
Джо Туми, вице-президент по безопасности андеррайтинга в киберстраховщике Coalition, связывает такие устройства с заметной долей страховых обращений. По его словам, цена страховки зависит в том числе от технологий, которые компания выставляет в интернет, и от истории инцидентов вокруг конкретного поставщика. Его рекомендация — уходить от устаревших SSL VPN к альтернативным подходам zero trust. Уязвимость SonicWall SMA не доказывает, что любой VPN нужно немедленно списать, но хорошо показывает цену зависимости от единственного внешнего шлюза: патчить его приходится уже не по расписанию, а на скорость атакующих.