Lỗ hổng SonicWall SMA1000 bị khai thác, mở đường cho ransomware
- Evelyn Carter
- 5 thg 8
- 5 phút đọc
SonicWall công bố ngày 14/7/2026 hai lỗ hổng CVE-2026-15409 và CVE-2026-15410 trên thiết bị SMA1000. Khi được kết hợp, chuỗi khai thác có thể cho phép kẻ tấn công không cần xác thực tiếp cận dịch vụ nội bộ, thực thi lệnh với quyền root và duy trì hiện diện. Cả hai CVE đã được ghi nhận khai thác thực tế.
Các bằng chứng từ SonicWall, Rapid7 và Resecurity cho thấy hoạt động khai thác đã diễn ra trước thời điểm công bố bản vá. Một số cụm tấn công sau đó được liên hệ với hoạt động của INC Ransomware, dù doanh nghiệp cần phân biệt giữa việc phát hiện chuỗi khai thác và việc xác nhận ransomware đã được triển khai tại từng nạn nhân cụ thể.
Điều gì đã xảy ra với SonicWall SMA1000?
Ngày 14/7/2026, SonicWall phát hành cảnh báo SNWLID-2026-0008 cho hai lỗ hổng ảnh hưởng đến dòng SonicWall SMA1000. Hai vấn đề gồm CVE-2026-15409, một lỗ hổng server-side request forgery, và CVE-2026-15410, một lỗi code injection có thể dẫn đến thực thi lệnh trên hệ điều hành.
CVE-2026-15410 yêu cầu quyền truy cập vào một dịch vụ quản trị nội bộ theo mô hình đánh giá riêng lẻ của nhà cung cấp. Tuy nhiên, khi kết hợp với CVE-2026-15409, kẻ tấn công có thể vượt qua ranh giới truy cập ban đầu và tiến tới thực thi lệnh hệ điều hành với quyền cao. Rapid7 cho biết họ đã quan sát hoạt động khai thác có chủ đích nhằm vào các thiết bị SMA1000 kết nối Internet trước khi SonicWall công bố lỗ hổng.
Những sản phẩm và phiên bản nào bị ảnh hưởng?
Phạm vi ảnh hưởng tập trung vào SonicWall SMA1000 Series, gồm các model SMA 6210, SMA 7210, SMA 8200v và một số triển khai vCMS. SonicWall firewall SSL VPN và dòng SMA 100 Series không nằm trong phạm vi ảnh hưởng của hai CVE này.
Thành phần | Thông tin |
Vendor | SonicWall |
Sản phẩm | Secure Mobile Access 1000 Series |
Model liên quan | SMA 6210, SMA 7210, SMA 8200v, vCMS |
CVE-2026-15409 | SSRF, CVSS 10.0 |
CVE-2026-15410 | Code injection, CVSS 7.2 |
Trạng thái | Đã ghi nhận khai thác thực tế |
Sản phẩm không bị ảnh hưởng | SonicWall firewall SSL VPN, SMA 100 Series |
Doanh nghiệp có thể tham khảo quy trình kiểm tra và đánh giá lỗ hổng an toàn thông tin để xây dựng danh mục tài sản Internet-facing, xác định phiên bản, kiểm tra bản vá và ưu tiên những CVE đã có bằng chứng khai thác. IPSIP lưu ý rằng các cổng VPN, firewall và giao diện quản trị công khai cần được đưa vào nhóm tài sản ưu tiên cao.
Chuỗi tấn công hoạt động như thế nào?
Chuỗi khai thác bắt đầu tại giao diện SonicWall WorkPlace, thường được cung cấp qua cổng HTTPS. Kẻ tấn công gửi yêu cầu được thiết kế để lợi dụng thành phần /wsproxy, qua đó tạo một đường hầm đến dịch vụ chỉ lắng nghe trên giao diện localhost của appliance.
Rapid7 cho biết khả năng này có thể được sử dụng để tiếp cận các dịch vụ nội bộ như ứng dụng Erlang hoặc ctrl-service. Từ đây, CVE-2026-15410 có thể bị kích hoạt thông qua quy trình remove_hotfix, dẫn tới thực thi lệnh hệ điều hành với quyền root.
Trình tự tấn công có thể được khái quát như sau:
Quét và xác định thiết bị SMA1000 công khai trên Internet.
Khai thác CVE-2026-15409 để kết nối đến dịch vụ localhost.
Gửi lệnh hoặc chuẩn bị payload thông qua dịch vụ nội bộ.
Lợi dụng CVE-2026-15410 để leo thang lên quyền root.
Cài backdoor, công cụ chuyển tiếp hoặc web shell.
Thu thập thông tin xác thực và trinh sát mạng nội bộ.
Di chuyển ngang, đánh cắp dữ liệu hoặc chuẩn bị triển khai ransomware.
Chuỗi tấn công biến một lỗi truy cập dịch vụ nội bộ thành khả năng thực thi lệnh với quyền root. Sau khi chiếm appliance VPN, kẻ tấn công có thể duy trì hiện diện, đánh cắp thông tin xác thực và sử dụng lưu lượng truy cập từ xa hợp lệ để che giấu hoạt động tiếp theo.
Doanh nghiệp cần làm gì trong 24 giờ đầu?
Kiểm kê toàn bộ SonicWall SMA1000, bao gồm appliance vật lý, máy ảo và vCMS.
Xác định model, phiên bản và platform hotfix hiện tại.
Áp dụng bản vá mới nhất theo hướng dẫn SNWLID-2026-0008.
Hạn chế truy cập Internet đến giao diện không cần thiết trong thời gian xử lý.
Sao lưu log, cấu hình và dữ liệu hệ thống trước khi thực hiện thay đổi lớn.
Tìm kiếm kết nối bất thường đến /wsproxy và các dịch vụ localhost liên quan.
Kiểm tra tài khoản quản trị mới, thay đổi cấu hình khởi động và tác vụ không rõ nguồn gốc.
Luân chuyển mật khẩu quản trị, tài khoản dịch vụ, khóa API và thông tin xác thực có thể đã đi qua appliance.
Rà soát Active Directory, VPN và endpoint để tìm dấu hiệu di chuyển ngang.
Kích hoạt quy trình ứng phó sự cố nếu có dấu hiệu thực thi lệnh hoặc persistence.
Góc nhìn chuyên gia từ IPSIP Việt Nam?
Bản vá khẩn cấp phải đi cùng quản lý tài sản, giám sát và xác minh sau khắc phục. Thiết bị bảo mật không mặc nhiên an toàn chỉ vì nằm ở lớp biên; firewall, VPN và hệ thống quản trị từ xa đều cần được coi là tài sản có đặc quyền cao.
Doanh nghiệp có thể tự triển khai những gì?
Trong 30–90 ngày tiếp theo, doanh nghiệp nên hoàn thiện danh mục tài sản Internet-facing, thiết lập SLA vá dựa trên mức độ khai thác thực tế, phân tách vùng VPN với các hệ thống trọng yếu và giảm quyền của tài khoản dịch vụ.
Backup cần tuân theo nguyên tắc 3-2-1, có bản sao ngoại tuyến hoặc bất biến và được kiểm tra khôi phục định kỳ. MFA vẫn cần thiết nhưng không thể thay thế bản vá, bởi chuỗi khai thác này nhắm trực tiếp vào appliance thay vì chỉ dựa vào việc đánh cắp mật khẩu người dùng.
Về dài hạn, doanh nghiệp cần kết hợp quản lý bản vá dựa trên rủi ro, phân đoạn mạng, giám sát log liên tục và quy trình ứng phó ransomware đã được kiểm thử. Chỉ cập nhật phần mềm mà không kiểm tra hoạt động sau xâm nhập có thể để lại những điểm truy cập chưa được phát hiện.
Nguồn tham khảo
Bình luận