SonicWall heeft hotfixes beschikbaar gemaakt voor vier kwetsbaarheden in zijn SMA1000-appliances. Deze gateways geven externe medewerkers toegang tot een bedrijfsnetwerk en applicaties. De grootste impact zit in een fout die al bereikbaar kan zijn vóórdat een gebruiker inlogt, waardoor een aanvaller mogelijk ongeautoriseerde handelingen kan uitvoeren.
Volgens SonicWall heeft het bedrijf geen bewijs dat de vier nieuwe issues al actief worden misbruikt. Dat neemt niet weg dat het verstandig is om de updates snel te installeren, vooral als uw omgeving afhankelijk is van WorkPlace op de SMA1000.
Waarom SonicWall patches SSRF cruciaal zijn
De belangrijkste bug betreft SSRF (Server-Side Request Forgery) in WorkPlace. WorkPlace is het portaal waarmee gebruikers inloggen op de SMA1000. De kwetsbaarheid ontstaat door een ongewenste toegangskoppeling binnen SonicWall die een aanvaller kan gebruiken via een pad dat al toegankelijk is pre-auth, dus zonder login.
Om de ernst aan te duiden geeft SonicWall deze issue een CVSS-score van 10.0. In de security advisory staat dat een aanvaller met misbruik van deze route interne functionaliteit kan bereiken en vervolgens ongeautoriseerde operaties kan uitvoeren. Welke functies exact geraakt kunnen worden, werd niet gespecificeerd.
De CVE-2026-102255: SSRF vóór authenticatie
De meest ernstige kwetsbaarheid is geregistreerd als CVE-2026-102255. Het gaat om een SSRF-probleem dat een aanvaller in staat kan stellen om requests door te sturen via de appliance richting interne componenten. Omdat de fout al vóór authenticatie te bereiken is, vormt dit een direct risico voor omgevingen die SMA1000 gebruiken voor remote access.
De bug zit in een access path die SonicWall beschrijft als “unintended”. Daardoor kan de aanvraag een punt passeren dat normaal aan authenticatie is gekoppeld.
Welke SMA1000-modellen en versies worden geraakt
Volgens SonicWall hebben de vier kwetsbaarheden invloed op specifieke SMA1000-apparaatmodellen: 6210, 7210 en 8200v. Voor deze apparaten gelden platform-hotfix versies die u moet vergelijken met wat er nu draait.
Concreet noemt SonicWall:
- Versie 12.4.3: 12.4.3-03526 en oudere releases zijn kwetsbaar; 12.4.3-03670 en hoger zijn gepatcht.
- Versie 12.5.0: 12.5.0-02952 en oudere releases zijn kwetsbaar; 12.5.0-03082 en hoger zijn gepatcht.
Daarmee vallen ook de versies die SonicWall eerder op 1 september noemde—namelijk 12.4.3-03526 en 12.5.0-02952. SonicWall gaf die destijds aan als fixes voor twee andere gemelde issues, maar benadrukt nu dat een appliance die nog op die releases staat een nieuwe hotfix nodig heeft.
Drie andere fouten: wel na inloggen
Naast de pre-auth SSRF (CVE-2026-102255) zijn er nog drie gerelateerde kwetsbaarheden. SonicWall geeft aan dat deze pas te misbruiken zijn nadat een gebruiker is ingelogd.
Twee van de issues bevinden zich in de Appliance Management Console (AMC). Daarin configureren beheerders de appliance. De derde issue is eveneens relevant voor geauthenticeerde gebruikers, maar details over precies welke functies niet uitgebreid genoemd in het bronbericht.
Beïnvloedt dit ook SSL-VPN?
Voor sommige organisaties is dit een belangrijk onderscheid: SonicWall meldt dat SSL-VPN op SonicWall firewalls en ook SMA 100 Series niet zijn getroffen door deze kwetsbaarheden. De aandacht gaat dus specifiek uit naar de genoemde SMA1000 modellen en de bijbehorende WorkPlace- en managementpaden.
Geen aanwijzingen voor misbruik, wel direct updaten
SonicWall stelt dat het geen evidence heeft gevonden dat de vier nieuwe kwetsbaarheden in aanvallen worden gebruikt. Tegelijk past dit incident in een patroon: SonicWall heeft in 2026 meerdere keren een 10.0-rated SSRF in WorkPlace moeten patchen die zonder login toegankelijk was.
Eerder dit jaar meldde SonicWall onder meer kwesties met CVE-2026-15409 en CVE-2026-15410 (14 juli), en later CVE-2026-83548 en CVE-2026-83549 (1 september). In die meldingen gaf SonicWall aan dat er tijdens de onderzoeken meerdere gevallen of een geval waren van misbruik. Ook toen ging het om een combinatie: een SSRF zonder login en daarnaast een issue waarmee een geauthenticeerde aanvaller commando’s kon uitvoeren of controle kon krijgen.
Of de nieuwe pre-auth SSRF-fout op een vergelijkbare manier kan worden gecombineerd met de drie andere issues wordt door SonicWall niet met zekerheid bevestigd.
Wat u nu moet doen: hotfix installeren
De hotfixes zijn beschikbaar via het MySonicWall-portaal. Na installatie herstart de appliance automatisch. SonicWall heeft in dit bericht geen specifieke workaround genoemd, wat betekent dat de update praktisch de primaire route is om het risico te verlagen.
Omdat de meest ernstige bug pre-auth is, is het extra belangrijk om te voorkomen dat de appliance lange tijd op een kwetsbare versie blijft draaien. Inventariseer daarom snel welke SMA1000’s in uw beheer draaien, en check of ze vallen binnen de getroffen versiebanden.
IOC-check en herstelacties bij eerdere vergelijkbare issues
Hoewel SonicWall voor de nieuwe vier flaws geen extra instructies geeft voor checks specifiek gericht op deze updates, verwijst het bedrijf naar aanpak die het eerder bij andere WorkPlace-kwetsbaarheden communiceerde. In de eerdere advisories adviseerde SonicWall klanten om:
- hun appliances te controleren op indicatoren van compromis;
- bij aanwijzingen voor compromittering de appliance te re-image of opnieuw in te zetten;
- gebruikers- en beheerderswachtwoorden te wijzigen;
- TOTP-tokens te resetten die gebruikt worden voor eenmalige inlogcodes.
Als u eerder nog had geleerd van dit soort SSRF-incidenten, dan helpen deze stappen om zowel toegangsrisico’s als mogelijke persistente sporen aan te pakken.
Tip: kijk ook naar signalen rond WorkPlace en remote access
Een pre-auth SSRF vraagt om extra aandacht voor loglijnen, netwerkverkeer en afwijkende requests richting interne services. Voor teams die hun remote access en managementstromen willen aanscherpen, is het ook nuttig om te bekijken hoe andere aanvallen misbruik maken van tussenlagen en toegangspaden.
Gerelateerd aan het bredere thema van misbruik van toegang en beheerprocessen kunt u bijvoorbeeld lezen over hoe kwaadwillenden proberen controle te krijgen in omgevingen waar authenticatie en managementroutes een rol spelen: MCP server-risico’s: geen governance onderweg.
En als u vermoedt dat een appliance al eerder is geraakt door een kwetsbaarheid in de keten, kan het helpen om te kijken naar signalen van datalekken en toegangscompromittering in andere incidenten: Databreuk bij Southern Company: 400.000 accounts.
Conclusie
Met de SonicWall patches SSRF voor SMA1000 pakt het bedrijf een hoog-risico kwetsbaarheid aan die al vóór authenticatie kan worden misbruikt. De belangrijkste issue (CVE-2026-102255) krijgt een CVSS 10.0-score en kan volgens SonicWall leiden tot het bereiken van interne functionaliteit en ongeautoriseerde acties.
Installeer daarom de hotfixes via MySonicWall en controleer welke SMA1000-modellen en versies bij u in productie draaien. Ook als SonicWall geen actieve aanvallen meldt, is tijdige patching de beste manier om het risico op misbruik te verkleinen.
Bron: https://thehackernews.com/2026/10/sonicwall-patches-cvss-100-pre.html
