Ordem de execução, para quem tem um SMA 1000 no perímetro:
- Conferir a versão real de cada aparelho, físico e virtual. O corrigido é 12.4.3-03670 ou superior, ou 12.5.0-03082 ou superior.
- Se o aparelho ficou exposto e sem correção em julho ou em setembro, tratar a atualização como início de investigação, e não como encerramento. A orientação anterior da própria fabricante já pedia reinstalação da imagem, troca de senha e redefinição de TOTP.
- Procurar nos registros requisições OPTIONS para a Extraweb, referência a 127.0.0.1:5984, a documento de desenho do CouchDB ou à função
_rewrite. - Decodificar cabeçalho
Authorizationdo tipo Basic capturado e procuraradmin:admin, que em base64 éYWRtaW46YWRtaW4=. Busca por texto puro não encontra. - Tirar a interface WorkPlace e o console de gerência da internet aberta onde for possível.
O SSL-VPN dos firewalls e a série SMA 100 não entram neste boletim.
O que a tentativa faz
A CVE-2026-102255 é uma falsificação de requisição no lado do servidor, sem autenticação, com nota 10.0. Na descrição da fabricante, um atacante remoto e não autenticado pode levar o aparelho a emitir requisições em nome dele.
Na prática observada pelos honeypots, o atacante manda um OPTIONS para a interface WorkPlace Extraweb, que está voltada para a internet. O aparelho obedece e emite a requisição interna. O alvo é o CouchDB que roda na própria máquina, em 127.0.0.1:5984. A tentativa percorre o caminho até um documento de desenho e chama a função _rewrite, levando um cabeçalho Basic com admin:admin.
Vale separar o que está confirmado do que não está. Há tentativa registrada. Não há confirmação de que algum sistema tenha sido comprometido, nem de que o CouchDB tenha respondido como o atacante esperava. Também não há contagem pública de aparelhos vulneráveis: o número que circula, mais de 400 SMA 1000 expostos na internet, é de varredura e inclui honeypot e equipamento já corrigido.
O boletim inteiro
| CVE | Tipo | CVSS |
|---|---|---|
| CVE-2026-102255 | Falsificação de requisição no lado do servidor, sem autenticação | 10.0 |
| CVE-2026-102256 | Execução remota de código | 7.8 |
| CVE-2026-102257 | Travessia de caminho em descompactação | 7.2 |
| CVE-2026-102258 | Script armazenado entre sítios | 5.5 |
Afetados: SMA 1000 nos modelos 6210, 7210 e 8200v, incluindo todos os hipervisores, nas versões 12.4.3-03526 e anteriores ou 12.5.0-02952 e anteriores. Corrigido em 12.4.3-03670 ou superior, ou 12.5.0-03082 ou superior. O boletim não oferece contorno por configuração: a saída é atualizar.
O padrão, que é a parte que interessa
Uma falha crítica é notícia. Três notas 10.0 na mesma interface em cerca de três meses é outra conversa.
- Julho: CVE-2026-15409, nota 10.0, explorada como dia zero.
- Setembro: CVE-2026-83548, nota 10.0, e CVE-2026-83549, nota 7.8, ambas corrigidas e sob ataque.
- Outubro: CVE-2026-102255, nota 10.0, com tentativa registrada três dias depois da correção.
Frank Dickson, analista principal da Dickson Research, resumiu o ponto: três falhas 10.0 em uma interface em cerca de três meses é padrão, não má sorte. E completou com a frase que o comprador de equipamento precisa levar a sério: o cliente que fez tudo certo no mês passado está exposto de novo hoje.
Ele também avisa contra a reação fácil. Trocar de fabricante troca um ponto fraco por outro, porque o problema de categoria é o concentrador de VPN voltado para a internet, não a marca na etiqueta.
O histórico sustenta a leitura. Em quatro anos, 19 vulnerabilidades da SonicWall entraram no catálogo americano de falhas exploradas, e 13 delas aparecem marcadas como usadas por grupos de ransomware. Nos ataques de julho contra o SMA 1000 foram instalados os implantes Sou5, OrangeTail e RootRun, e parte dessa atividade foi depois ligada a ransomware.
Como caçar
O ponto cego aqui é que a requisição que importa é interna. Registro de rede sozinho não mostra tráfego de laço local, especialmente se a terminação TLS acontece antes.
- Alertar em OPTIONS para a Extraweb, sobretudo com caminho fora do padrão.
- Procurar, nos registros do próprio aparelho, atividade de CouchDB em laço local, acesso a documento de desenho e chamada de
_rewrite. - Decodificar cabeçalho Basic capturado em proxy, WAF e registro de acesso, e procurar credencial padrão.
- Correlacionar no tempo: OPTIONS externo, atividade no CouchDB local, mudança de configuração, reinício de serviço, varredura interna e autenticação em sequência.
- Revisar conta de administrador e de VPN em busca de sessão, acesso ou troca de credencial fora do esperado.
David Shipley, da Beauceron Security, fez uma observação que serve de prazo informal: agora que a técnica é pública, pode-se apostar que um bom número de agentes automatizados vai replicar o ataque. Entre o aviso e a varredura em massa não há mais a folga de semanas que existia há alguns anos.
A pergunta que a fabricante deveria responder
Há uma dúvida legítima em aberto: as falhas novas são realmente novas, ou são correções incompletas das anteriores? São três SSRF na mesma interface em um trimestre. Se a resposta for correção incompleta, o cálculo de risco do cliente muda, porque a próxima atualização deixa de ser um evento e passa a ser uma aposta.
É uma pergunta razoável de se fazer ao fornecedor por escrito, e de se registrar junto ao contrato. Quem compra concentrador de VPN está comprando, na prática, o processo de desenvolvimento seguro de quem o fabrica.
O meio da pirâmide é quem paga essa conta
Equipamento dessa faixa está instalado em empresa de porte médio, banco pequeno, cooperativa, hospital, prefeitura, operação regional de indústria. É exatamente o perfil que não tem janela de manutenção de madrugada, não tem segundo aparelho para failover e descobre a atualização pendente quando alguém lê um boletim.
Na América Latina isso tem um agravante conhecido: o concentrador de VPN quase sempre é o único caminho de acesso remoto, então derrubá-lo para atualizar custa produção. O resultado é o que a varredura mostra: mais de 400 aparelhos desse modelo respondendo na internet, sem que se saiba quantos estão em versão corrigida.
Se não houver como atualizar hoje, o controle que mais reduz exposição é tirar a interface de gerência e a WorkPlace do acesso público e deixar apenas o que o negócio precisa de fato. Não resolve a falha. Reduz a chance de que a varredura automatizada da próxima semana chegue até ela.
Outras correções e falhas do dia
- AnyDesk
Exploração pública dá root antes da autenticação no Linux
A equipe V12 publicou em 8 de outubro o AnyPwn, para o AnyDesk Linux 8.0.2. É um estouro de heap no protocolo de sessão: o tratador soma 16 bytes de cabeçalho ao tamanho declarado em aritmética de 32 bits sem checar transbordo, e um tamanho forjado reduz a alocação a quase nada. Funciona em conexão direta na porta 7070, sem o usuário aprovar nada. Corrigido na 8.0.3, de junho, cujo changelog falava só em travamento. Sem CVE atribuído.
- AhsayCBS
Minerador disfarçado de Microsoft Edge em servidor de backup
A Huntress registrou exploração a partir de 7 de outubro, às 23h20 UTC, encadeando a CVE-2026-105133 com a CVE-2026-105134, de nota 9.3, para pular a autenticação e executar comando. A carga é um XMRig chamado edge.exe, acompanhado de um script em PowerShell que pausa a mineração quando o Gerenciador de Tarefas abre. A versão 10.3.4, que o NVD marca como corrigida, segue vulnerável.
- Tor
Metade da chave descartada entrega o endereço .onion inteiro
A Searchlight Cyber divulgou em 8 de outubro uma falha no GoBalance, reescrita em Go do balanceador Onionbalance distribuída com o kit EndGame. A assinatura recebe só os primeiros 32 dos 64 bytes da chave privada, e a metade descartada é justamente a que mantém secreto o valor de cada assinatura. Com um descritor público é possível calcular a chave mestra. Não há correção oficial, e trocar de endereço é a única saída.
- iOS
P7 DarkSword passa a roubar carteira e chaveiro no próprio aparelho
A iVerify descreveu em 8 de outubro a variante P7 do kit de exploração DarkSword, que encadeia falhas para sair do navegador, chegar ao kernel e injetar carga no SpringBoard. A novidade é processar o chaveiro em JSON no próprio telefone antes de exfiltrar, consultar comando a cada 15 segundos e usar localStorage para não reexplorar o mesmo aparelho. O alvo é iOS 18.4 a 18.7.
Fontes e aprofundamento
- SonicWall · Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0017), boletim de 5 de outubro, atualizado em 6, com as quatro CVEs, modelos e versões corrigidas.
- Hunter Strategy · AnyDesk Root Exploit, SonicWall SMA1000 Attacks, and a Critical NetScaler Flaw, de 9 de outubro, com o OPTIONS contra a Extraweb, o CouchDB em laço local e a contagem de aparelhos expostos.
- CSO Online · SonicWall's latest critical flaw indicates a security pattern, not another one-off bug, a sequência de falhas 10.0 desde julho e as falas de Frank Dickson e David Shipley.
- Cyber Security News · SonicWall Patches 4 SMA1000 Flaws, Including Critical Pre-Auth SSRF Rated CVSS 10, detalhamento das quatro falhas e das faixas de firmware afetadas.