SonicWall, SMA1000 uzaktan erişim cihazlarını etkileyen iki kritik güvenlik açığının sıfırıncı gün (zero-day) saldırılarında aktif olarak kullanıldığını doğruladı. Şirket, CVE-2026-15409 ile CVE-2026-15410 numaralı açıklar için güvenlik düzeltmelerini yayınlayarak müşterilerden güncellemeleri vakit kaybetmeden yüklemelerini istedi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da her iki açığı aktif olarak istismar edilen güvenlik açıkları listesine ekledi.

İki Güvenlik Açığı Gerçek Saldırılarda Kullanılıyor

SonicWall Güvenlik Olay Müdahale Ekibi (PSIRT), yürüttüğü incelemelerde her iki güvenlik açığının gerçek saldırılarda kullanıldığını doğruladı. Kritik önem derecesine sahip CVE-2026-15409 açığı, SMA1000 Appliance Work Place arayüzünde sunucu taraflı istek sahteciliğine (SSRF) neden oluyor. Kimlik doğrulaması gerektirmeyen bu açık, saldırganın cihazı istemediği hedeflere istek göndermeye zorlamasına olanak tanıyor.

Yüksek önem derecesine sahip CVE-2026-15410 ise SMA1000 Appliance Management Console bileşenini etkiliyor. Açık, yönetici yetkisine sahip saldırganın işletim sistemi üzerinde rastgele komut çalıştırmasına imkân veriyor. Bu güvenlik açığı yönetici hesabı gerektirse de SonicWall, iki açığın oluşturduğu toplam riski en yüksek seviyede değerlendirerek güvenlik bültenine 10,0 CVSS puanı verdi.

SonicWall, saldırganların iki güvenlik açığını birlikte kullanıp kullanmadığına ilişkin teknik ayrıntı paylaşmadı. Şirket, buna rağmen müşterilerin yalnızca en güncel düzeltme paketini yükleyerek sistemlerini güvence altına alabileceğini belirtiyor. Üretici, mevcut durumda güvenlik açıkları için geçici çözüm ya da risk azaltıcı farklı bir yöntem bulunmadığını özellikle vurguluyor.

Sorundan; 6210, 7210 ile 8200v modellerinde çalışan belirli SMA1000 platform sürümleri etkileniyor. Güvenlik düzeltmeleri ise 12.4.3-03453 ile 12.5.0-02835 ve sonraki sürümlerde yer alıyor. SonicWall ayrıca SSL-VPN hizmeti sunan güvenlik duvarlarının veya SMA 100 Series ürün ailesinin bu güvenlik açıklarından etkilenmediğini açıkladı.

SonicWall, sistem yöneticilerinin yalnızca güncellemeleri yüklemekle yetinmemesi gerektiğini belirtti. Şirket, paylaştığı ihlal göstergeleri sayesinde günlük kayıtlarında şüpheli API isteklerinin, olağan dışı wsproxy bağlantılarının, beklenmeyen düzeltme paketi geri almalarının veya yapılandırma dosyalarında normalde bulunmaması gereken yolların tespit edilmesini öneriyor. Bu kontroller, saldırganların sisteme erişip erişmediğinin anlaşılmasına yardımcı olabiliyor.

Üretici, ihlal tespit edilen cihazlarda fiziksel cihazların yeniden görüntülenmesini, sanal cihazların yeniden kurulmasını, tüm kullanıcı ile yönetici parolalarının değiştirilmesini, ayrıca tek kullanımlık doğrulama belirteçlerinin (TOTP) sıfırlanmasını tavsiye ediyor. Böylece saldırganların ele geçirmiş olabileceği kimlik bilgilerinin yeniden kullanılmasının önüne geçilmesi amaçlanıyor.

CISA’nın iki güvenlik açığını Bilinen Aktif Olarak İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna eklemesi, tehdidin yalnızca teorik olmadığını ortaya koyuyor. Kurum, özellikle kamu kuruluşlarının etkilenen sistemleri en geç 17 Temmuz 2026 tarihine kadar güvenli hâle getirmesini, gerekli önlemler alınamıyorsa ürünün kullanımının durdurulmasını istiyor.