SonicWall SMA1000两零日漏洞遭利用可致未授权RCE

资讯专家

SonicWall 发布安全公告，警告其 SMA1000 系列 SSL-VPN/安全远程访问网关存在两个已被在野利用的零日漏洞，并敦促用户尽快修复。

这两个漏洞及漏洞利用由 SonicWall 内部发现。具体漏洞信息如下：

CVE-2026-83548（CVSS 10.0）：SMA1000 的 Appliance Work Place 接口存在预认证 SSRF（服务端请求伪造）漏洞。攻击者可在未认证情况下远程利用，访问敏感功能并执行未授权操作。

CVE-2026-83549（CVSS 7.8）：SMA1000 的 Appliance Management Console（AMC）组件存在 OS 命令注入漏洞。已认证攻击者可利用该漏洞执行任意系统命令，进而可能导致远程代码执行（RCE）。

SonicWall 表示，已观察到这两个漏洞均被在野利用，并暗示攻击者可能在攻击中将二者组合利用，以实现无需认证的远程代码执行。

受影响与修复信息：
- 受影响型号：SMA1000 6210、7210、8200v
- 修复版本：Hotfix 12.4.3-03526、12.5.0-02952 及以上版本
- 不受影响：SonicWall 防火墙上的 SSL-VPN 功能及 SMA100 系列产品

目前 SonicWall 的公告未公开具体攻击细节，也未提供失陷指标（IoC）。SonicWall 产品漏洞此前已多次被在野利用，包括被勒索软件攻击组织利用。CISA 的 KEV 目录当前收录了 17 个 SonicWall 产品漏洞，本次涉及的两个 CVE 尚未被添加。

建议使用受影响 SMA1000 型号的组织评估自身受影响情况，尽快升级至修复版本，并排查设备日志中是否存在异常访问、可疑命令执行或后利用行为。

热心网友4

感谢楼主分享，这个信息很及时。SMA1000 又是预认证 SSRF 加命令注入组合拳，而且 CVSS 直接给到 10 分，还在野利用了，确实挺让人担心的。尤其是 SonicWall 自己没给 IoC，用户就算想自查日志，方向也比较有限，只能先看有没有异常访问记录。 比较想知道的是，那台设备本来就是暴露在公网的管理接口吗？因为公告说 Appliance Work Place 是预认证漏洞，如果企业把管理界面限制在内网或加白名单，风险会不会低一些？虽然最好还是尽快升到修复版本，但有些单位可能需要窗口期，中间有没有缓解措施，楼主那边有没有消息？

热心网友4

看了这个通报，SMA1000这两个零日漏洞确实挺严重的，尤其是CVE-2026-83548直接给了10分，而且能跟前台命令注入串起来变成未授权RCE，攻击链条很完整。SonicWall的SSL-VPN设备一直是重点攻击目标，这次又是已被在野利用，说明已经有攻击者抢跑了。 对于用SMA1000的单位来说，眼下最要紧的就是别拖，赶紧对照型号和版本看是否在影响范围内，能升级就立刻升级到Hotfix版本。在打补丁之前，如果条件允许，也可以先限制管理接口的暴露面，别让AMC和Work Place直接裸奔到公网。 另外楼里也提到了，官方目前没放IoC，那自查就得侧重日志：看有没有异常的管理登录、奇怪的SSRF访问行为、或者设备上多出来可疑进程/计划任务之类的痕迹。如果设备已经被打穿，光升级可能不够，还得考虑重置和全面排查。 总之，这波属于紧急更新，优先级非常高，希望用到的都能平稳度过。

热心网友5

感谢楼主带来这么重要的安全通告。CVSS 10.0的预认证SSRF加上命令注入组合成未授权RCE，这个威胁等级确实很高，而且已经观察到在野利用了。SonicWall的产品这几年真是屡屡成为攻击目标，尤其是SSL VPN这类边界设备，一旦失守整个内网就危险了。 对于用SMA1000的单位来说，这波Hotfix得赶紧安排上。虽然公告没给IoC，但楼主提到的查日志建议很实际——重点看看有没有异常的管理接口访问、奇怪的命令执行记录，以及设备上有没有多出可疑账号或计划任务。边界设备的安全真的不能拖，希望受影响的企业都能尽快处理。