Lỗ hổng nghiêm trọng trên SonicWall SMA1000 bị khai thác chỉ vài ngày sau khi công bố

Các tác nhân đe dọa đã bắt đầu khai thác một lỗ hổng nghiêm trọng vừa được vá trên thiết bị SonicWall SMA1000 chỉ trong vài ngày sau khi thông tin được công bố công khai. Lỗ hổng mang mã CVE-2026-102255 với điểm CVSS tối đa 10, được mô tả là lỗi giả mạo yêu cầu phía máy chủ (SSRF) trước xác thực ảnh hưởng đến giao diện SMA1000 Work Place.

Minh họa lỗ hổng SonicWall

Chi tiết về lỗ hổng CVE-2026-102255

Theo SonicWall, lỗ hổng tồn tại do một đường dẫn truy cập thay thế ngoài ý muốn, cho phép kẻ tấn công từ xa "điều hướng thiết bị thực hiện các yêu cầu thay mặt chúng, truy cập vào các chức năng nội bộ và thực hiện các thao tác trái phép".

Công ty đã công bố CVE-2026-102255 vào ngày 6 tháng 10, đồng thời kêu gọi khách hàng cập nhật các dòng thiết bị 6210, 7210 và 8200v lên phiên bản phần mềm 12.5.0-03082 và 12.4.3-03670.

Với điểm CVSS 10 – mức cao nhất trong thang đánh giá – đây là lỗ hổng cực kỳ nguy hiểm, cho phép kẻ tấn công chưa xác thực có thể lợi dụng ngay từ bên ngoài.

Các cuộc tấn công khai thác bắt đầu chỉ sau hai ngày

Vào thứ Sáu, hai công ty tình báo mối đe dọa là Previdian (trước đây là KEVIntel) và Defused đã cảnh báo về những nỗ lực khai thác đầu tiên nhắm vào lỗ hổng này.

Defused cho biết các cuộc tấn công khai thác đầu tiên đã tiếp cận bẫy (decoy) SMA của họ vào ngày 8 tháng 10, chỉ hai ngày sau khi lỗ hổng được công bố công khai.

Previdian cũng xác nhận: "Các nỗ lực khai thác SonicWall SMA1000 hiện đang được cảm biến của Previdian ghi nhận, phù hợp với CVE-2026-102255 (CVSS 10.0). Lỗ hổng cho phép giả mạo yêu cầu phía máy chủ (SSRF) mà không cần xác thực."

Cảnh báo về các cuộc tấn công mạng

Rủi ro chiếm quyền điều khiển thiết bị

Công ty an ninh mạng Horizon3.ai cảnh báo rằng việc khai thác thành công lỗ hổng này có thể cho phép kẻ tấn công chiếm quyền điều khiển các thiết bị dễ bị tổn thương.

Điều đáng lo ngại là tốc độ khai thác diễn ra cực kỳ nhanh chóng. Trong những năm gần đây, xu hướng tấn công nhắm vào các lỗ hổng vừa được công bố ngày càng gia tăng, đặc biệt với các sản phẩm bảo mật như SonicWall, Citrix hay Cisco. Khoảng thời gian từ lúc công bố đến khi bị khai thác đã rút ngắn từ hàng tuần xuống chỉ còn vài ngày, thậm chí vài giờ.

Khuyến nghị cho người dùng và doanh nghiệp

• Cập nhật ngay lập tức thiết bị SonicWall SMA1000 lên phiên bản 12.5.0-03082 hoặc 12.4.3-03670 nếu chưa thực hiện.
• Kiểm tra log hệ thống để phát hiện các yêu cầu bất thường nhắm vào giao diện Work Place.
• Hạn chế truy cập từ internet vào các thiết bị quản trị từ xa nếu không thực sự cần thiết.
• Theo dõi các cảnh báo từ SonicWall và các công ty tình báo mối đe dọa để cập nhật tình hình.
• Cân nhắc áp dụng giám sát liên tục thay vì chỉ dựa vào các đợt kiểm tra định kỳ, nhằm phát hiện sớm các dấu hiệu xâm nhập.

Đối với các doanh nghiệp tại Việt Nam đang sử dụng thiết bị SonicWall SMA1000 trong hệ thống hạ tầng mạng, việc ưu tiên vá lỗ hổng này ngay lập tức là điều cấp thiết, bởi kẻ tấn công đã bắt đầu quét và khai thác trên quy mô toàn cầu.

Bối cảnh bảo mật đáng lo ngại

CVE-2026-102255 là một phần trong loạt sự cố bảo mật nghiêm trọng liên tiếp gần đây nhắm vào các thiết bị mạng và bảo mật doanh nghiệp. Các lỗ hổng trên Citrix NetScaler, Cisco, Atlassian hay Fortinet cũng đã bị khai thác nhanh chóng sau khi công bố, cho thấy các tác nhân đe dọa ngày càng tự động hóa quy trình tìm kiếm và khai thác điểm yếu.

Điều này đặt ra yêu cầu cấp thiết cho các tổ chức: quản lý bản vá không còn là nhiệm vụ có thể trì hoãn, mà phải trở thành một phần trong quy trình vận hành hàng ngày, đặc biệt với các thiết bị đóng vai trò cửa ngõ truy cập từ xa.

Biểu trưng chuyên mục bảo mật