Twee kwetsbaarheden in de SMA1000-gateway van netwerkbeveiliger SonicWall worden gebruikt om organisaties met ransomware te infecteren, zo meldt het Amerikaanse cyberagentschap CISA. De aanvallers combineren de twee kwetsbaarheden waardoor ze eerst op afstand code weten uit te voeren en daarna hun rechten verhogen. Eén van de misbruikte beveiligingslekken (CVE-2026-15409) heeft een CVSS-impactscore van 10.0 op een schaal van 1 tot en met 10. Updates verschenen op 14 juli.

De Secure Mobile Access (SMA) appliance is een apparaat dat als gateway wordt gebruikt om gebruikers bijvoorbeeld op het bedrijfsnetwerk te laten inloggen. Het biedt onder andere vpn-functionaliteit en load balancing. De beveiligingslekken werden zeker al sinds 22 juni bij aanvallen misbruikt, drie weken voordat de updates beschikbaar waren. Nu is vastgesteld dat de kwetsbaarheden ook bij ransomware-aanvallen worden ingezet, aldus het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.

Volgens cybersecuritybedrijf Resecurity zijn de aanvallen onder andere het werk van een groep criminelen genaamd INC Ransomware. De groep gebruikt de SonicWall-lekken als toegangspunt tot bedrijfsnetwerken, om vervolgens gegevens te stelen en ransomware uit te rollen. Rescurity stelt dat de groep de activiteiten sinds begin deze maand heeft opgeschroefd, wat zou blijken uit het groeiende aantal slachtoffers waarvan de criminelen de namen op hun eigen website plaatsen. Organisaties die de SonicWall-updates nog niet hebben uitgerold worden opgeroepen dit meteen te doen.