Falha nota 10 no acesso remoto da SonicWall passa a ser explorada dois dias depois da correção

O SonicWall SMA1000 é o equipamento que muitas empresas colocam na borda da rede para deixar funcionários, prestadores e parceiros acessarem sistemas internos de fora do escritório. É o porteiro do acesso remoto. Na terça-feira, 6 de outubro, a SonicWall publicou correções para uma falha nesse porteiro com a nota máxima de gravidade: 10,0. Nesta sexta-feira (9), pesquisadores confirmaram que ela já está sendo explorada.

O que a falha permite, sem tecnês

A vulnerabilidade, catalogada como CVE-2026-102255 (aviso SNWLID-2026-0017), está na interface Appliance WorkPlace dos modelos 6210, 7210 e 8200v. É do tipo SSRF — falsificação de requisição do lado do servidor.

A melhor comparação é com uma recepção. Você, visitante, não pode entrar no arquivo interno da empresa. Mas pode pedir à recepcionista que vá buscar um documento lá dentro — e o arquivo confia em quem trabalha na casa. Numa falha SSRF, o atacante faz o próprio equipamento enviar pedidos a lugares internos que ele alcança e o atacante não. E aqui sem precisar de usuário, senha ou qualquer interação: basta o equipamento estar acessível pela internet.

A SonicWall diz que não há solução de contorno — só o hotfix. A falha não afeta a linha SMA 100 nem o SSL-VPN dos firewalls da marca.

Da correção ao ataque: dois dias

No dia do aviso, a fabricante afirmou não ter evidência de exploração. Durou pouco. Segundo o BleepingComputer, a rede de armadilhas (honeypots) da Previdian, do pesquisador Ryan Dewhurst, passou a registrar tentativas por volta de 8 de outubro, e a empresa Defused relatou o mesmo tráfego contra seus equipamentos-isca.

O que os atacantes tentam é revelador. A requisição maliciosa usa a interface WorkPlace para alcançar um banco de dados CouchDB que roda dentro do próprio aparelho, num endereço que só deveria ser acessível localmente — e tenta entrar nele com o usuário e a senha admin:admin. Ainda não se sabe se alguma tentativa deu certo. A Shadowserver contabiliza mais de 400 SMA1000 expostos na internet, parte deles possivelmente já corrigida.

A terceira vez no ano

Para quem administra esse equipamento, a sensação de déjà-vu é justificada. Em julho, duas falhas do SMA1000 foram exploradas por semanas como zero-day para instalar programas maliciosos, ataques que a CISA, agência americana de cibersegurança, ligou a grupos de ransomware. Em setembro, outras duas foram encadeadas para executar código remotamente e entraram no catálogo de vulnerabilidades exploradas da CISA com prazo de três dias para correção. Ao todo, a agência já listou 19 falhas da SonicWall como exploradas em ataques — 13 delas usadas por ransomware.

O padrão não é exclusivo da marca. Este blog registrou o mesmo caminho no GlobalProtect da Palo Alto, na VPN da Ivanti e no NetScaler da Citrix: o equipamento de acesso remoto é o alvo preferido porque fica na internet por definição e, quando cai, entrega a rede com cara de funcionário.

A senha padrão do lado de dentro

O detalhe do admin:admin merece uma pausa. Um serviço interno com senha de fábrica costuma ser tolerado com o argumento de que “ninguém de fora chega lá”. A falha SSRF desmonta esse argumento: quando a porta da frente pode ser transformada em intermediário, tudo o que confiava em “estar do lado de dentro” fica exposto. É a mesma lição da porta de entrada de IA que aceitava a senha do manual — só que, desta vez, a senha nem estava no sistema que você administra, e sim dentro do aparelho que você comprou.

O que fazer agora

Se a empresa usa SMA1000, a ordem é a de sempre para equipamento de borda com exploração ativa: aplicar o hotfix publicado no portal MySonicWall (as linhas 12.4.3 e 12.5.0 são afetadas; o aviso da fabricante traz as versões exatas), verificar os registros de acesso à interface WorkPlace em busca de requisições incomuns desde o início de outubro e, se houver sinal de abuso, tratar o caso como incidente — com troca das credenciais que passam pelo equipamento.

Em julho, a exploração veio antes da correção. Em outubro, dois dias depois dela. Para equipamento de acesso remoto, a janela de manutenção do mês seguinte deixou de ser prazo.

Fontes

• SonicWall PSIRT — aviso SNWLID-2026-0017 (06/10/2026): psirt.global.sonicwall.com
• NIST — National Vulnerability Database, CVE-2026-102255 (CVSS 3.1: 10,0): nvd.nist.gov
• BleepingComputer — “Max severity SonicWall SMA1000 flaw now exploited in attacks” (09/10/2026): bleepingcomputer.com

• CISA — Known Exploited Vulnerabilities Catalog: cisa.gov

• Foto de capa: painel de conexões de fibra óptica do ponto de troca de tráfego AMS-IX, em Amsterdã — Fabienne Serriere, CC BY-SA 3.0, via Wikimedia Commons

• Segunda imagem: trabalho remoto em notebook — CruiseAmerica, CC BY-SA 4.0, via Wikimedia Commons