SonicWall SMA 1000 系列設備近期爆發兩個嚴重的零日漏洞（Zero-Day，指尚未有補丁且已被攻擊者利用的漏洞），其中一個漏洞的危險等級達到最高分 CVSS 10.0。這類設備通常用於企業的遠端安全存取，是公司網路的門戶，因此一旦被攻破，攻擊者可能直接進入內網，造成毀滅性影響。
漏洞技術詳解
第一個漏洞 CVE-2026-15409 屬於伺服器端請求偽造（SSRF, Server-Side Request Forgery）。簡單來說，SSRF 是指攻擊者能夠誘導伺服器發出不正常的請求，讓伺服器變成一個代理人，去攻擊內網中其他原本無法從外部直接訪問的設備或服務。在這個案例中，未經身分驗證的遠端攻擊者就能觸發此漏洞，將 SMA 設備當作跳板，對內部網路進行偵察或進一步攻擊。
第二個漏洞 CVE-2026-15410 則發生在設備管理控制台（AMC, Appliance Management Console）中，屬於身分驗證後的代碼注入漏洞。這意味著攻擊者必須先擁有一個有效的帳號才能利用。然而，一旦進入管理介面，攻擊者可以在特定條件下注入惡意指令，以系統管理員的身分在底層作業系統執行任意指令。這類漏洞最可怕的地方在於，攻擊者可以直接控制整台設備的權限，修改設定、竊取憑證或安裝後門。
實務上的影響與風險
對於維運工程師來說，這兩個漏洞的組合非常危險。攻擊者可能先利用 SSRF 探索內網，或者透過其他手段獲取低權限帳號，隨後利用代碼注入漏洞提升權限至管理員。由於 SMA 設備處於網路邊緣，一旦被控制，它就成了攻擊者在企業內網中最完美的據點。
如何判斷是否已被入侵
單純更新補丁是不夠的，因為漏洞已被積極利用。工程師需要檢查系統日誌（Forensic Analysis）來尋找入侵指標（IoC, Indicators of Compromise）。
首先檢查 extraweb_access.log，觀察是否出現對 /api/login 或 /api/logout 的請求且狀態碼為 200，或者對 /wsproxy 的請求包含可疑的主機參數且狀態碼為 101。
其次檢查 ctrl-service.log，確認是否有包含路徑遍歷（Path Traversal，一種嘗試訪問非預期目錄的攻擊手法）名稱的熱修復回滾記錄。
最後檢查 /var/lib/unit/conf.json 配置文件，如果發現定義了 /api/login 或 /api/logout 的路由，則幾乎可以確定已被入侵，因為官方正版配置中並不包含這些路徑。
應對方案與修復建議
如果發現上述任何入侵指標，僅僅更新版本已無法清除威脅。建議採取最徹底的清除措施：物理設備需重新刷寫映像檔（Re-image），虛擬設備則需重新部署。同時，必須強制要求所有使用者與管理員更改密碼，並重置所有基於時間的一次性密碼（TOTP）令牌，以防止攻擊者持有持久化的存取權限。
目前 SonicWall 已提供補丁，請確保設備版本升級至 12.4.3-03453 或 12.5.0-02835 以上版本。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。