SonicWall memperingatkan pelanggan tentang dua celah zero-day pada perangkat Secure Mobile Access atau SMA 1000 Series. Masalah ini serius karena celah tersebut sudah dieksploitasi secara aktif. Artinya, serangan bukan lagi sekadar risiko teori. Dua celah tersebut adalah CVE-2026-15409 dan CVE-2026-15410. Salah satunya memiliki skor CVSS 10.0, yang berarti masuk kategori sangat kritis. Karena SMA sering dipakai untuk akses jarak jauh, perangkat ini menjadi target yang menarik bagi penyerang.

Apa Itu SonicWall SMA 1000?

SonicWall SMA 1000 adalah perangkat secure remote access. Perangkat ini membantu pengguna mengakses jaringan perusahaan dari luar kantor.

Biasanya, solusi seperti ini dipakai oleh karyawan remote, vendor, atau tim yang perlu terhubung ke aplikasi internal.

Karena berada di sisi perimeter, SMA menjadi aset yang sangat penting. Jika perangkat ini dikuasai penyerang, akses ke jaringan internal bisa ikut terancam.

Itulah sebabnya celah pada perangkat remote access perlu ditangani dengan cepat.

Mengapa Celah Ini Berbahaya?

Celah ini berbahaya karena menyerang perangkat yang berada di depan jaringan perusahaan.

Perangkat perimeter seperti firewall, VPN, dan remote access gateway sering menjadi pintu masuk awal. Jika penyerang berhasil masuk dari titik ini, mereka bisa mencoba bergerak ke sistem lain.

Selain itu, perangkat seperti SMA sering terhubung ke layanan identitas internal. Contohnya adalah LDAP atau Active Directory.

Akibatnya, kompromi pada perangkat SMA bisa membuka risiko yang lebih luas. Risiko tersebut dapat mencakup pencurian kredensial, akses tidak sah, dan pergerakan lateral di jaringan.

CVE-2026-15409: Celah SSRF dengan Risiko Kritis

CVE-2026-15409 adalah celah server-side request forgery atau SSRF. Celah ini memiliki skor CVSS 10.0.

SSRF terjadi saat penyerang dapat membuat server mengirim request ke lokasi yang tidak seharusnya.

Dalam kasus ini, penyerang jarak jauh tanpa autentikasi dapat memanfaatkan celah tersebut. Dampaknya bisa membuat appliance mengakses layanan internal yang seharusnya tidak dapat dijangkau dari luar.

Risiko ini sangat tinggi karena tidak membutuhkan login. Jadi, perangkat SMA yang terbuka ke internet harus segera diperiksa.

CVE-2026-15410: Celah Code Injection Setelah Login

CVE-2026-15410 adalah celah code injection. Celah ini berada pada Appliance Management Console atau AMC.

Berbeda dari celah pertama, celah ini membutuhkan autentikasi. Namun, dampaknya tetap serius.

Jika berhasil dieksploitasi, penyerang dapat menjalankan perintah sistem operasi sebagai administrator dalam kondisi tertentu.

Celah ini menjadi lebih berbahaya jika digabungkan dengan celah lain. Dalam serangan nyata, penyerang dapat memakai satu celah untuk membuka jalan ke celah berikutnya.

Serangan Sudah Terjadi di Dunia Nyata

Rapid7 melaporkan bahwa eksploitasi aktif sudah terlihat pada perangkat SMA 1000 yang terbuka ke internet.

Menurut laporan tersebut, penyerang menargetkan appliance sebagai pintu masuk awal. Setelah mendapat akses, mereka mencoba mengambil data bernilai tinggi dari perangkat.

Data yang berisiko termasuk kredensial, database sesi aktif, dan konfigurasi TOTP MFA seed.

Ini sangat berbahaya. Jika data MFA seed dicuri, penyerang bisa mencoba mempertahankan akses meskipun organisasi sudah melakukan langkah mitigasi standar.

Risiko Pergerakan Lateral

Setelah perangkat SMA dikuasai, penyerang dapat mencoba masuk lebih jauh ke jaringan internal.

Rapid7 juga mengamati aktivitas autentikasi yang tidak normal ke domain controller. Aktivitas tersebut berasal dari IP internal appliance.

Hal ini menunjukkan bahwa perangkat yang terkompromi dapat bertindak sebagai backdoor. Dengan kata lain, penyerang tidak selalu perlu membuat koneksi VPN biasa.

Bagi perusahaan, ini adalah tanda bahaya besar. Appliance perimeter yang sudah dikompromikan harus dianggap sebagai aset berisiko tinggi.

Versi yang Perlu Diperbarui

SonicWall sudah merilis perbaikan melalui platform hotfix.

Versi yang sudah diperbaiki adalah 12.4.3-03453 platform-hotfix atau lebih baru. Untuk jalur versi lain, gunakan 12.5.0-02835 platform-hotfix atau lebih baru.

Jika organisasi masih memakai versi lama, patch perlu segera dilakukan. Prioritaskan perangkat yang terbuka ke internet.

Selain itu, organisasi perlu mengecek semua appliance SMA 1000 yang digunakan. Jangan hanya memeriksa perangkat utama.

Apakah Semua SonicWall Terdampak?

Tidak semua produk SonicWall terdampak oleh celah ini.

Laporan Rapid7 menyebut celah ini berdampak pada SMA 1000 Series. Model yang disebut mencakup 6210, 7210, dan 8200v.

Selain itu, celah ini tidak berdampak pada fungsi SSL VPN di firewall SonicWall. Celah ini juga tidak berdampak pada lini SMA 100 Series.

Namun, tim IT tetap perlu memastikan model dan versi yang digunakan. Jangan hanya mengandalkan asumsi nama produk.

Indikator yang Perlu Dicek Tim IT

Tim IT perlu melakukan pemeriksaan forensik pada perangkat yang terdampak.

Beberapa log perlu diperiksa. Contohnya adalah extraweb_access.log, ctrl-service.log, dan file konfigurasi tertentu pada appliance.

Perhatikan request mencurigakan ke endpoint login, logout, atau wsproxy. Perhatikan juga tanda rollback hotfix yang tidak wajar.

Jika ditemukan indikator kompromi, jangan hanya melakukan patch. Perangkat perlu dianggap sudah berisiko.

Langkah Mitigasi yang Disarankan

Langkah pertama adalah update ke versi platform hotfix terbaru. Ini harus menjadi prioritas utama.

Setelah itu, lakukan pemeriksaan forensik. Cari tanda eksploitasi pada log dan konfigurasi appliance.

Jika ada tanda kompromi, lakukan re-image pada appliance fisik. Untuk appliance virtual, lakukan redeploy.

Selain itu, ganti password user dan administrator. Reset juga token TOTP jika ada indikasi kompromi.

Langkah ini penting karena penyerang bisa saja sudah mengambil kredensial atau data sesi sebelum patch diterapkan.

Tips Tambahan untuk Perusahaan

Buat inventaris semua perangkat remote access. Pastikan tim IT tahu perangkat mana yang terbuka ke internet.

Selanjutnya, batasi akses management interface. Gunakan allowlist IP, VPN admin khusus, atau segmentasi jaringan.

Selain itu, pantau aktivitas autentikasi ke Active Directory. Perhatikan login dari sumber yang tidak biasa atau workstation name yang mencurigakan.

Terakhir, pastikan log dari appliance perimeter masuk ke SIEM. Dengan begitu, tim security bisa melihat aktivitas aneh lebih cepat.

Kesimpulan

Dua zero-day SonicWall SMA 1000 ini perlu ditangani segera. Salah satu celah memiliki skor CVSS 10.0 dan dapat dieksploitasi tanpa autentikasi.

Risikonya tidak hanya pada appliance. Jika penyerang berhasil masuk, jaringan internal juga bisa ikut terancam.

Karena itu, organisasi perlu segera melakukan patch, memeriksa indikator kompromi, mengganti kredensial, dan memperketat akses perangkat perimeter.

Pada akhirnya, perangkat remote access harus diperlakukan sebagai aset kritis. Jika perangkat ini terbuka ke internet, patching dan monitoring harus dilakukan dengan sangat disiplin.