SonicWall SMA1000 İçin Acil Uyarı Yaptı: İki Zero-Day Açığı Aktif Olarak Kullanılıyor
SonicWall, SMA1000 cihazlarını etkileyen iki kritik zero-day güvenlik açığının saldırılarda aktif olarak kullanıldığını açıkladı. CVE-2026-83548 ve CVE-2026-83549 numaralı açıklar, saldırganların uzaktan kod çalıştırma saldırıları gerçekleştirmek için birbirini takip eden bir saldırı zinciri oluşturmasına yol açıyor. Şirket, etkilenen fiziksel ve sanal SMA1000 cihazlarının en güncel hotfix sürümüne mümkün olan en kısa sürede yükseltilmesini isterken saldırıların ayrıntıları ve tespit göstergeleri konusunda henüz kapsamlı bilgi paylaşmadı.
SMA1000 Zero-Day Açıkları Saldırı Zincirinde Kullanılıyor
SonicWall’ın güvenlik ekibi tarafından tespit edilen ilk açık, SMA1000 Appliance WorkPlace arayüzünde bulunan kritik seviyedeki bir komut enjeksiyonu zafiyeti olarak tanımlanıyor. CVE-2026-83548 olarak izlenen güvenlik açığı, temelinde Server-Side Request Forgery (SSRF) zafiyetinden kaynaklanıyor ve saldırganların cihaz üzerinde yetkisiz işlemler gerçekleştirmesine giden yolu açıyor.
İkinci güvenlik açığı CVE-2026-83549 ise SMA1000 Appliance Management Console bileşenini etkiliyor. Saldırganların yönetici ayrıcalıklarına sahip olması halinde bu açığı kullanarak işletim sistemi üzerinde istedikleri komutları çalıştırabildiği belirtiliyor.
SonicWall PSIRT, yaptığı incelemenin ardından iki zafiyetin gerçek saldırılarda kullanıldığına ilişkin kanıt bulunduğunu açıkladı. Şirket, müşterilerden SMA1000 güvenlik açığı için yayınlanan hotfix paketini vakit kaybetmeden uygulamalarını istedi.
Yeni zafiyet zinciri SMA1000 ailesindeki belirli modellerle sınırlı kalıyor. SonicWall’ın açıklamasına göre 6210, 7210 ve 8200v modelleri saldırı zincirinden etkileniyor. SonicWall güvenlik duvarlarında çalışan SSL-VPN hizmetleri ile SMA 100 Series ürün ailesi ise söz konusu iki zafiyetin kapsamına girmiyor.
Shadowserver Foundation tarafından yapılan internet taramalarında çevrimiçi olarak erişilebilen 400’den fazla SMA1000 cihazı izleniyor. Bu cihazların bir bölümünün saldırılara karşı gerekli yamaları daha önce uygulamış olabileceği belirtilirken internete açık yönetim cihazlarının oluşturduğu risk devam ediyor.
SMA1000 cihazları, büyük şirketler, kamu kurumları ve kritik altyapı kuruluşları tarafından güvenli uzaktan erişim amacıyla kullanıldığı için saldırganlar açısından değerli hedefler oluşturuyor. Yönetim arayüzlerine ulaşabilen tehdit aktörleri, güvenlik açığının niteliğine bağlı olarak kurum ağlarında daha geniş kapsamlı saldırılar gerçekleştirmek için ilk erişim noktası elde edebiliyor.
SonicWall, tüm müşterilerin fiziksel veya sanal SMA1000 cihazlarını yayınlanan en yeni hotfix sürümüne yükseltmesini tavsiye ediyor. Şirket, cihazlarda bir saldırıya ilişkin SonicWall zero-day belirtileri görülmesi durumunda yöneticilerin yalnızca yazılım güncellemesiyle yetinmemesini de öneriyor.
SonicWall’ın tavsiyeleri arasında cihazların yeniden imajlanması, kullanıcı ve yönetici hesaplarının parolalarının değiştirilmesi ve TOTP kimlik doğrulama belirteçlerinin sıfırlanması bulunuyor. Ancak şirket devam eden saldırılarla ilgili teknik ayrıntıları ve araştırma sırasında belirlediği Indicators of Compromise (IOC) listesini henüz yayınlamadı.
Bu nedenle yöneticilerin yalnızca üreticinin yayınlayacağı yeni güvenlik duyurularını takip etmesi değil, ağ üzerindeki SMA1000 cihazlarının erişim kayıtlarını ve kimlik doğrulama hareketlerini de incelemesi gerekiyor. Özellikle internete açık cihazlarda olağandışı yönetici oturumları veya beklenmeyen yapılandırma değişiklikleri güvenlik ekipleri tarafından araştırılmalı.
SMA1000 ürün ailesi son dönemde birden fazla saldırı kampanyasının hedefinde yer aldı. Temmuz ayında CVE-2026-15409 ve CVE-2026-15410 numaralı iki farklı zafiyetin haftalar boyunca zero-day saldırılarında kullanıldığı ve savunmasız VPN cihazlarına özel amaçlı zararlı yazılımlar yerleştirildiği açıklanmıştı.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), geçen ay yaptığı doğrulamayla fidye yazılımı gruplarının bu iki zafiyeti gerçek saldırılarda kullandığını duyurdu. SonicWall ayrıca Aralık ayında CVE-2025-40602 numaralı başka bir SMA1000 açığı için müşterilerini uyarmış ve saldırganların bu zafiyeti root yetkileri elde etmek amacıyla zincirleme kullandığını belirtmişti.
Şirket, bundan bir ay önce de devlet destekli tehdit aktörleriyle ilişkilendirilen bir güvenlik ihlaline ilişkin açıklama yapmıştı. Söz konusu olayda müşterilere ait güvenlik duvarı yapılandırma yedeklerinin açığa çıktığı belirtilirken araştırmacılar 100’den fazla SonicWall SSL-VPN hesabının çalınan kimlik bilgileri kullanılarak ele geçirildiği konusunda uyarıda bulunmuştu.
Yeni SMA1000 zero-day saldırısı, aynı ürün ailesinin art arda güvenlik olaylarında hedef alınmasının kurumsal uzaktan erişim altyapılarının ne kadar kritik olduğunu gösteriyor. SonicWall’ın teknik ayrıntıları ve IOC bilgilerini paylaşması, savunma ekiplerinin mevcut saldırı zincirini daha hızlı tespit edebilmesi açısından önem taşıyacak.
