CISA'dan Kritik SonicWall Açığına 5 Eylül Son Tarihi

SonicWall, uzaktan erişim için kullanılan SMA1000 serisi cihazlarındaki iki güvenlik açığının saldırganlar tarafından aktif olarak istismar edildiğini doğruladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), federal kurumlara etkilenen cihazları 5 Eylül'e kadar yamalama veya devre dışı bırakma zorunluluğu getirdi.

Daha ciddi olan açık CVE-2026-83548, SMA1000'in Appliance Work Place arayüzünde kimlik doğrulama gerektirmeyen bir sunucu taraflı istek sahteciliği (SSRF) hatası. CVSS şiddet skalasında tam 10.0 puan alıyor; yani saldırganın herhangi bir kullanıcı adı veya şifreye ihtiyacı yok. İkinci açık CVE-2026-83549 ise Appliance Management Console'daki bir işletim sistemi komut enjeksiyonu hatası ve 7.8 puanla derecelendirildi; tek başına kimliği doğrulanmış bir yönetici hesabı gerektiriyor, ancak ilk açıkla zincirlendiğinde saldırgan hiç giriş yapmadan cihaz üzerinde komut çalıştırabiliyor.

SonicWall, her iki sorunu da 1 Eylül'de yayınladığı SNWLID-2026-0016 numaralı danışma metninde duyurdu ve açıkların gerçek saldırılarda birlikte kullanıldığını gözlemlediğini belirtti. CISA, iki CVE'yi de 2 Eylül'de Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek etkilenen cihazlarda adli inceleme zorunluluğu getirdi ve ABD federal sivil kurumları için son tarihi 5 Eylül olarak belirledi.

Riskin bu kadar yüksek olmasının nedeni, 6210, 7210 ve 8200v modelleriyle satılan SMA1000 cihazlarının kurumsal ağların sınırında yer alması ve uzaktaki çalışanların VPN bağlantılarının kimlik doğrulamasını yapması. Bu cihazlardan birine yapılan başarılı bir saldırı, saldırgana arkasındaki tüm sisteme doğrudan bir yol açabilir. SonicWall henüz saldırı göstergelerini (IOC) yayınlamadığı için birçok yönetici, cihazının zaten ele geçirilip geçirilmediğini güvenilir şekilde kontrol edemiyor; şirket ve CISA'nın güvenlik denetimi beklemeden hemen yama yapılmasını istemesinin nedeni de bu.

SonicWall, etkilenen kurumların 12.4.3-03526 veya 12.5.0-02952 sürümüne ya da daha yenisine güncelleme yapmasını istiyor. Açıklar zaten gerçek saldırılarda kullanıldığı ve henüz saldırı göstergesi bulunmadığı için şirket, müşterilerin sistemlerini manuel olarak incelettirmek üzere destek ekibiyle iletişime geçmesini de tavsiye ediyor; ele geçirme doğrulanan durumlarda bu, fiziksel cihazların yeniden imajlanması veya sanal cihazların temiz bir durumdan yeniden kurulması anlamına gelebiliyor.

CISA'nın son tarihi resmi olarak yalnızca ABD federal kurumlarını bağlasa da, aktif istismar durumu SMA1000 donanımı çalıştıran her kurumun bugün aynı riskle karşı karşıya olduğu anlamına geliyor — sektör veya konum fark etmeksizin.