北京
补丁发布三天，攻击就来了。
SonicWall SMA1000设备上的一个最高危漏洞，在周二完成修补。到周五，安全研究机构Previdian的蜜罐网络已经捕捉到与这个漏洞特征一致的利用尝试。该机构创始人Ryan Dewhurst向BleepingComputer确认了这一情况。
漏洞编号CVE-2026-102255，影响SMA1000的6210、7210和8200v型号上的Appliance WorkPlace接口。SMA 100系列产品线不在影响范围内，SonicWall防火墙上的SSL-VPN也不受影响。
攻击者盯上了什么
根据SonicWall的说明，攻击者可以滥用这条路径，让设备代替自己发起请求，触达内部功能并执行未授权操作。远程未认证攻击者就能做到这一点。
Dewhurst描述了蜜罐里看到的请求细节：目标指向WorkPlace Extraweb接口，用构造过的OPTIONS请求去够设备内部的CouchDB服务，地址是127.0.0.1:5984。载荷试图穿越进一个CouchDB设计文档，调用它的_rewrite函数，同时带上一个HTTP Basic认证头，里面的凭据是admin:admin。
他同时指出，这些活动与主动利用尝试的特征吻合，但Previdian尚未确认这些尝试是否成功攻破了任何系统。
同一个接口，第三次被盯上
Dewhurst提到，这次受影响的WorkPlace接口，和2026年7月、9月披露的早期SSRF漏洞 targeting 的是同一个。区别在于10月的这个漏洞用了不同的利用手法。
互联网威胁监测机构Shadowserver目前追踪到超过400台SMA1000设备暴露在线上。这些设备里有多少是蜜罐、有多少已经打过CVE-2026-102255的补丁，目前没有信息。
SMA1000是企业级安全远程访问网关，管理服务提供商、大量大型企业和政府机构都用它来做远程接入，访问内部应用和企业网络。这也是它反复成为目标的原因。
过去四个月，SMA1000没消停过
7月，威胁行为者滥用两个SMA1000零日漏洞（CVE-2026-15409和CVE-2026-15410），持续数周，在存在漏洞的远程接入设备上植入Sou5、OrangeTail和RootRun恶意软件。美国网络安全和基础设施安全局后来将其中部分攻击与勒索软件团伙关联。
上个月，SonicWall又警告客户，攻击者正在野外串联两个新的零日漏洞（CVE-2026-83548和CVE-2026-83549），在存在漏洞的SMA1000网关上执行远程代码。
把时间拉长到四年，CISA已将19个SonicWall漏洞加入其已知被利用漏洞目录，其中13个被标记为勒索软件团伙使用过。
补丁发了，蜜罐响了，400台设备还挂在网上。这三件事同时成立的时候，留给防守方的时间窗口通常不以周计。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
