סוניקוול תיקנה חולשה בהתקני SMA1000 שקיבלה את ציון החומרה המקסימלי, 10.0. תוקף לא מזוהה יכול לגרום להתקן לשלוח בקשות ליעדים שלא נועדו לו, כולל יעדים בתוך הרשת הפנימית. החולשה כבר מנוצלת בשטח.
מה החולשה?
התקני SMA1000 הם שערי גישה מרחוק. הם יושבים בקצה הרשת הארגונית ומאפשרים לעובדים להתחבר אליה מבחוץ. מעצם התפקיד שלהם הם חשופים לאינטרנט ובו בזמן מחוברים לרשת הפנימית, וזה מה שהופך חולשה בהם לרגישה במיוחד.
החולשה היא מסוג SSRF, זיוף בקשות מצד השרת. הרעיון הוא לגרום לשרת לפנות בשמכם ליעד שאתם עצמכם לא יכולים להגיע אליו. התוקף שולח להתקן בקשה שמכילה כתובת שהוא בחר, וההתקן, שנמצא בתוך הרשת, פונה לכתובת הזאת ומחזיר את התשובה.
זאת הסיבה שהחולשה הזאת שוברת את ההפרדה בין בחוץ לבין בפנים. שרתים פנימיים שסומכים על כך שרק מי שכבר ברשת יכול לדבר איתם מקבלים פתאום פנייה מהתקן לגיטימי שנמצא ברשת הזאת.
בוקטור החומרה מסומן Scope: Changed, כלומר ההשפעה חורגת מהרכיב הפגיע עצמו. יחד עם היעדר דרישת הזדהות, זה מה שמביא את הציון ל-10.0.
מי מושפע?
ארגונים שמפעילים התקני SMA1000 בגרסאות הקושחה 12.4.3 ו-12.5.0 שצוינו בהודעת היצרן.
זאת חולשה ארגונית ולא ביתית. עם זאת, אם אתם מתחברים לרשת של מקום העבודה דרך שער גישה מרחוק, זה בדיוק סוג ההתקן שעומד בדרך, ותקלה בו נוגעת לכל מי שמשתמש בו.
האם מנוצלת בפועל?
כן. ב-14 ביולי 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח.
התקני גישה מרחוק הם מטרה מועדפת מזה שנים, מהסיבה הפשוטה שהם חייבים להיות פתוחים לאינטרנט כדי לעשות את עבודתם. חולשה כזאת בהתקן כזה מנוצלת בדרך כלל תוך ימים מרגע הפרסום.
מה עושים?
עדכנו את הקושחה לפי הודעת האבטחה של סוניקוול. זאת הפעולה הראשונה ולא אחת מכמה.
אם אינכם יכולים לעדכן מיד, צמצמו את החשיפה של ממשק הניהול. ממשקי ניהול של התקני קצה לא אמורים להיות נגישים מהאינטרנט הפתוח בשום מצב, גם כשאין חולשה ידועה.
מכיוון שהחולשה מנוצלת, התייחסו להתקן שלא עודכן כאל התקן שייתכן שכבר נגעו בו. בדקו בלוגים בקשות יוצאות שההתקן ביצע ליעדים פנימיים שאין להן הסבר, ובדקו מול היצרן אילו סימני פריצה כדאי לחפש.