SonicWall再爆满分漏洞，暴露系统性安全隐患-网络与安全-至顶网

SonicWall在其核心产品中又曝出一个严重漏洞。

CVE-2026-102255在通用漏洞评分系统（CVSS）中被评为10分，即最高严重级别，这是SMA1000设备工作区界面中的一个未经身份验证的服务器端请求伪造（SSRF）漏洞。攻击者可利用这一意外访问路径，命令设备代其发出请求，进而访问内部功能并执行未经授权的操作。

同时，这家网络安全公司还披露了另外三个严重程度较低的漏洞，均影响SMA1000设备，并"强烈建议"使用该设备的客户升级至修复版本。

SonicWall表示，目前尚无证据表明该严重漏洞正在被实际利用。

然而，Dickson Research首席分析师弗兰克·迪克森（Frank Dickson）解释道："只有当一切都对攻击者有利时，CVSS才会给出10.0分。"他指出，该漏洞可通过网络访问，攻击实施难度低，且不需要凭证或用户点击任何内容即可成功。

在SSRF攻击中，"一条意外的替代访问路径使未经身份验证的攻击者能够引导设备进入内部功能，并执行未经授权的操作，"迪克森指出。"损害也不会局限于设备内部。评分体系将此称为范围变更，这正是9.8分与10分的区别所在。"

Beauceron Security首席执行官戴维·希普利（David Shipley）也表示赞同。CVE-2026-102255被评为10分，"因为它允许攻击者在任何身份验证介入之前，远程完全劫持一台安全设备，"他说。

赋予攻击者远程代码执行能力

SonicWall安全移动访问（SMA）1000系列是一套基于零信任原则的SSL虚拟专用网络（VPN）网关产品线。该平台为混合环境、本地部署和多云环境强制执行基于策略的连接。

该产品被众多中大型企业，以及托管安全服务提供商（MSSP）和政府机构广泛使用。这些组织的特性使得该设备成为攻击者的首选目标。

此次新披露的最高严重级别漏洞CVE-2026-102255，影响运行12.4.3-03526及12.5.0-02952及更早版本软件的SMA 1000型号6210、7210和8200v。该公司表示，这些漏洞不影响SonicWall防火墙上运行的SSL-VPN或SMA 100系列产品线。客户可从mysonicwall.com下载最新的平台热修复补丁。

SonicWall本周披露的另外三个漏洞分别为：评分7.8的CVE-2026-102256，可让远程已认证攻击者获得管理员权限并执行任意操作系统命令；评分7.2的CVE-2026-102257，可实现路径穿越和远程代码执行（RCE）；以及评分5.5的CVE-2026-102258，在"特定条件"下可让远程已认证攻击者在设备管理控制台中存储并可能执行任意JavaScript代码。

SonicWall对发现这些漏洞的研究人员表示感谢，他们分别来自Anthropic、趋势科技（通过零日计划）以及DigitalCanion SA。

信任正是问题所在

SonicWall的SMA设备近来频繁出现漏洞，且已被攻击者积极利用。

例如，今年9月，该公司报告了1000系列中的两个重大安全漏洞。CVE-2026-83548被评为10分，该公司称其可让攻击者"未经授权访问敏感功能并执行未经授权的操作"。

此外，CVE-2026-83549被评为7.8分（高危），影响SMA设备管理控制台；已认证的攻击者可以管理员身份执行任意操作系统命令并实施远程代码执行。这两个漏洞均已修复，但SonicWall披露称它们正被攻击者积极针对。

而在今年7月，SMA1000系列中的一个未经身份验证的伪造漏洞（CVE-2026-15409，同样被评为10分）曾被当作零日漏洞利用。

总体而言，在过去四年中，美国网络安全和基础设施安全局（CISA）已将19个SonicWall漏洞列入其积极利用漏洞清单。其中13个曾被用于勒索软件攻击；SonicWall SSL VPN客户在这些勒索软件攻击中受到的冲击最为严重。另一起值得注意的事件是该公司云备份服务在2025年9月出现的安全漏洞，影响了所有用户。

这是一种模式，而非厄运

迪克森指出，SMA 1000之所以处于网络边缘位置，正是因为它能够触达其后方的内部网络，"这种信任正是其存在的意义所在。"SSRF攻击正是借用了这种信任；攻击者让设备去敲内部的门，而门之所以打开，是因为请求看起来来自系统信任的对象。由此，问题就变成了SSRF攻击能触达多深。

"这就是一个特洛伊木马，"迪克森说。"恶意请求是裹着可信请求的外壳进入系统的。"

本周披露的另外三个漏洞中有两个可导致远程代码执行；迪克森指出，这与7月和9月攻击中的"确切套路"如出一辙。

SonicWall周二的公告中列出受影响的软件版本为12.4.3-03526和12.5.0-02952。他指出，这正是修复9月零日漏洞的那些热修复版本。

"一个上个月做对了所有事情的客户，今天又再次暴露在风险之中，"他说。目前修复版本为12.4.3-03670和12.5.0-03082或更高版本，公告中除了打补丁之外没有列出其他变通方案。

迪克森的建议是：核实每一台设备（无论是物理设备还是虚拟设备）的完整版本号。尽可能将工作区界面和管理控制台从公开互联网中移除。如果某台设备在7月或9月的窗口期内曾暴露且未打补丁，应将此次补丁视为"调查的开始，而非结束"。SonicWall在之前事件后给出的建议是重新镶像、轮换密码、重置基于时间的一次性密码（TOTP）；这一建议依然适用。

此外，迪克森指出，"在大约三个月内，同一界面出现三个10.0分漏洞，这是一种模式，而非厄运。"

不过，大多数主流远程访问厂商都至少经历过一次产品被攻陷的情况，包括Ivanti、Fortinet、Citrix和思科。"面向互联网的VPN设备是网络边界的致命弱点，"他指出。"更换厂商只是把一个弱点换成另一个弱点。"

他建议，客户应该向SonicWall询问，目前的漏洞究竟是全新的漏洞，还是此前问题的修复不完整所致。"然后打补丁、核实版本，并追问为什么同一扇门反复被打开。"

AI智能体将复制该攻击

希普利还指出，由于两个最高严重级别的漏洞是由Anthropic研究人员发现的，"可以肯定，既然已经公开，大量AI将会复制这一攻击。"

他建议检查日志，并在产品"深处"排查整类漏洞。

"如果一个漏洞被发现一次，它就会被再次发现，"他说。

他认同迪克森的建议，并补充说，客户不应因为厂商出现严重CVE漏洞而放弃该厂商；这样做只会促使企业隐藏漏洞。"应该奖励那些能够证明自己通过避免使用相同攻击手法反复出现严重CVE，从而修复整类漏洞的企业，"他说。

本文最初发表于CSOonline。

Q&A

Q1：SonicWall最新披露的CVE-2026-102255漏洞有多严重？

A：该漏洞在CVSS评分系统中被评为10分，是最高严重级别。它是SMA1000设备工作区界面中一个未经身份验证的服务器端请求伪造漏洞，攻击者无需凭证或用户点击即可利用，可远程完全劫持该安全设备。