SonicWall waarschuwt voor actief misbruik van twee kwetsbaarheden in de SMA1000-gateway waardoor ongeauthenticeerde aanvallers de apparaten op afstand kunnen overnemen. Eén van de kwetsbaarheden (CVE-2026-15409) heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Er zijn updates uitgebracht om de problemen te verhelpen, maar misbruik vond al voor het verschijnen van de fixes plaats.

De Secure Mobile Access (SMA) appliance is een apparaat dat als gateway wordt gebruikt om gebruikers bijvoorbeeld op het bedrijfsnetwerk te laten inloggen. Het biedt onder andere vpn-functionaliteit en load balancing. CVE-2026-15409 betreft een Server-side request forgery (SSRF) kwetsbaarheid waardoor een aanvaller het apparaat requests naar een onbedoelde locatie kan laten maken. Via het tweede beveiligingslek (CVE-2026-15410) kan een geauthenticeerde aanvaller door middel van 'code injection' willekeurige OS-commando's uitvoeren. Verdere details over de beveiligingslekken zijn niet gegeven.

SonicWall geeft ook geen details over de aanvallen, zoals sinds wanneer die plaatsvinden en hoeveel klanten mogelijk zijn geraakt. Naast updates heeft SonicWall ook Indicators of Compromise (IoC's) beschikbaar gemaakt waarmee klanten kunnen kijken of hun gateway is gehackt. SonicWall adviseert ook een uitgebreid forensisch onderzoek om te bepalen of de IoC's op het apparaat aanwezig zijn. In die gevallen wordt aangeraden het apparaat te re-imagen of de virtual appliance opnieuw uit te rollen, wachtwoorden van gebruikers en admins te veranderen en TOTP-tokens te resetten.