Alerta no Perímetro: Zero-Days no SonicWall SMA sob Ataque Ativo por Atores de Ransomware

No dia 14 de julho de 2026, equipes de resposta a incidentes e inteligência contra ameaças relataram uma onda de explorações direcionadas a gateways de acesso móvel seguro (SMA - Secure Mobile Access) da SonicWall. O ataque aproveita um par de novas vulnerabilidades de dia zero (zero-day), catalogadas como CVE-2026-15409 e CVE-2026-15410.

Essas falhas permitem contornar controles de autenticação e executar códigos arbitrários no sistema operacional interno dos firewalls físicos e virtuais das séries SMA 100 e SMA 1000. Grupos de ransomware patrocinados por estados-nação estão se aproveitando das brechas para obter acesso inicial de baixa latência e se movimentar lateralmente nas redes de corporações globais. A SonicWall publicou orientações de mitigação imediatas em seu conselho de segurança.

⟩_ O Mecanismo Técnico de Bypass de Autenticação (CVE-2026-15409)

A primeira falha, CVE-2026-15409, reside no endpoint de gerenciamento do portal de autenticação web do SMA. O erro decorre de uma sanitização ineficiente dos cabeçalhos HTTP modificados encaminhados pelo cliente (especificamente o cabeçalho X-Original-URL em conjunto com cookies de sessão falsificados).

Ao forçar um estado de timeout na conexão, o servidor do SMA aceita a requisição e assume uma identidade de administrador válida. Esse bypass de autenticação permite que o atacante acesse as configurações administrativas internas do appliance e altere perfis de usuário ou habilite o console de comandos (SSH) de depuração em portas expostas.

⟩_ Execução de Código Remoto (RCE) via CVE-2026-15410

Uma vez dentro da console administrativa do SonicWall (usando o bypass citado acima), os atacantes exploram a segunda falha, CVE-2026-15410. Esta vulnerabilidade é uma injeção de comandos tradicional baseada em campos de entrada de formulários de diagnóstico de rede (como ping ou traceroute). O console do firmware aceita concatenações de comandos maliciosos executados com privilégios de root no kernel embarcado do Linux do dispositivo.

Isso possibilita a gravação de uma webshell persistente na memória flash do firewall, fornecendo acesso remoto estável que resiste mesmo a reinicializações físicas do hardware.

⟩_ Como Auditar e Bloquear Acessos via Bash/CLI

Para detectar tráfego anômalo de conexões administrativas que tentam explorar os endpoints web do seu SonicWall SMA local, audite os logs de acessos do seu roteador buscando requisições suspeitas direcionadas para a interface de controle.

Se o seu syslog estiver configurado para exportar para um servidor centralizado Linux, use este comando rápido no terminal para monitorar potenciais colisões de bypass:

# Monitora requisições contendo X-Original-URL direcionadas à porta de gerência
grep -Ei "X-Original-URL|X-Rewrite-URL" /var/log/syslog | grep -Ei "/cgi-bin/|/admin/"

# Caso encontre IPs externos tentando forçar requisições, bloqueie-os no iptables:
# Substitua o IP_ATACANTE pelo endereço identificado nos logs
iptables -A INPUT -s IP_ATACANTE -p tcp --dport 443 -j DROP

⟩_ Ações de Mitigação Obrigatórias

A SonicWall recomenda fortemente as seguintes ações para todos os administradores de redes corporativas:

1. Instale a Build de Patch: Atualize os firmwares do SMA 100/1000 imediatamente para a versão de firmware 10.2.1.13-54sv ou superior.
2. Restrinja o Acesso à Administração: Desative a exposição da console de administração (HTTPS/SSH) na interface pública de WAN/Internet. Limite esses serviços estritamente a subredes internas de gerência ou acessos via VPN local segura de gerência.
3. Monitore Criação de Usuários: Verifique as listas de usuários administrativos locais no painel do SMA buscando contas novas ou acessos em horários anômalos.