Twee kwetsbaarheden in de SMA1000-gateway van SonicWall zijn zeker drie weken voordat patches beschikbaar kwamen misbruikt bij aanvallen, aldus cybersecuritybedrijf Volexity. Via de twee beveiligingslekken kunnen aanvallers kwetsbare gateways overnemen en daarvandaan verdere aanvallen uitvoeren. De Secure Mobile Access (SMA) appliance is een apparaat dat als gateway wordt gebruikt om gebruikers bijvoorbeeld op het bedrijfsnetwerk te laten inloggen. Het biedt onder andere vpn-functionaliteit en load balancing.

De aanvallers combineren de twee kwetsbaarheden waardoor ze eerst op afstand code weten uit te voeren en daarna hun rechten verhogen. Eén van de misbruikte beveiligingslekken (CVE-2026-15409) heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Volexity werd ingeschakeld om een gehackte SonicWall-gateway te onderzoeken. Uit het onderzoek bleek dat de aanvallen waarbij de beveiligingslekken worden misbruikt al zeker sinds 22 juni plaatsvinden. De updates voor de kwetsbaarheden verschenen op 14 juli.

Bij de gehackte gateways installeren de aanvallers een webshell/backdoor om toegang tot het gehackte apparaat te behouden. Daarnaast hebben ze toegang tot op de gateway opgeslagen credentials, kunnen ze netwerkverkeer opslaan en inloggegevens onderscheppen. Vervolgens wordt het achterliggende netwerk aangevallen. De aanvallen zijn volgens Volexity het werk van een groep die het UTA0533 noemt.