Две уязвимости SonicWall GMS останутся без исправлений: платформа Global Management System достигла статуса End of Life, и производитель не будет выпускать для неё обновления безопасности. Для компаний, которые централизованно управляют через GMS парком межсетевых экранов SonicWall, это не очередной бюллетень «поставьте патч», а сигнал к миграции: патча не будет вовсе.
Проблемы затрагивают SonicWall GMS версии 9.5.2 и более ранние, сообщает BleepingComputer. Исследователи Pentest-Tools обнаружили и сообщили вендору о двух дефектах. Первый получил идентификатор CVE-2026-109593: злоумышленник, имеющий сетевой доступ к уязвимому экземпляру, может без аутентификации читать внутренние файлы системы и получать чувствительные данные. Второй — CVE-2026-109594 — позволяет пользователю с высокими привилегиями через SQL-инъекцию низкой сложности получать доступ к данным в базе GMS или изменять их.
Разница между этими сценариями важна. CVE-2026-109593 не требует учётной записи, поэтому риск зависит прежде всего от того, доступна ли консоль GMS из недоверенных сегментов сети или тем более из интернета. CVE-2026-109594 требует высоких прав, однако это не делает дефект безобидным: при компрометации административной учётной записи атакующий получает дополнительный способ извлечь или подменить данные, которыми пользуется система управления инфраструктурой.
GMS создавалась для централизованного развёртывания и администрирования тысяч устройств безопасности SonicWall из одного интерфейса. Такой сервер закономерно оказывается в особенно чувствительной точке: на нём могут храниться сведения о сети, настройках политик и управляемых устройствах. Поэтому уязвимости SonicWall GMS нельзя оценивать по привычной формуле «старый продукт, где-то в дальнем углу». В ряде организаций подобные системы продолжают жить годами — пока не сломаются лицензии, не придёт аудит или не случится инцидент.
Позиция SonicWall однозначна: продукт снят с поддержки, исправлений и обновлений безопасности для этих CVE не планируется. Вместо GMS компания предлагает Network Security Manager (NSM). Это означает, что временное снижение риска лежит на владельцах инфраструктуры: нужно проверить, где развёрнуты GMS 9.5.2 и более ранние версии, ограничить к ним сетевой доступ, пересмотреть административные учётные записи и составить план перехода. Оставлять сервер как есть в расчёте на «компенсирующие меры навсегда» — обычно самый дорогой вариант, просто счёт приходит позже.
Ситуация выглядит особенно неприятно на фоне интереса атакующих к продуктам SonicWall. С начала года компания уже выпускала исправления для нескольких zero-day-уязвимостей в линейке SMA1000. За последние четыре года американское агентство CISA внесло в каталог известных эксплуатируемых уязвимостей 19 проблем SonicWall; 13 из них, по данным источника, использовались группировками, связанными с вымогательским ПО. Это не доказывает эксплуатацию именно новых CVE в GMS, но хорошо объясняет, почему публичный EOL-сервер управления стоит считать приоритетом для инвентаризации.
Для ИТ-директора и руководителя ИБ здесь есть ещё один практический вывод: жизненный цикл средств управления безопасностью нужно учитывать отдельно от жизненного цикла самих шлюзов и VPN-устройств. Устройства могут получать актуальные политики и выглядеть обслуживаемыми, тогда как управляющая консоль уже лишилась права на исправления. Для разработчиков внутренних платформ и команд эксплуатации это повод проверить CMDB, систему управления активами и процессы закупок: должны быть видны не только версии конечных устройств, но и дата завершения поддержки управляющих компонентов.
Рынок всё чаще сталкивается с уязвимостями, которые невозможно закрыть обновлением: производитель уже переключился на новую платформу, а старая ещё работает в реальных сетях. В случае с SonicWall GMS вопрос теперь не в том, появится ли патч, а в том, сколько организаций успеют убрать неподдерживаемую консоль из критического контура до того, как её включат в очередную цепочку атаки.
