SonicWall, uzaktan çalışanlara şirket ağı ve uygulamalarına erişim sağlayan SMA1000 cihazlarını etkileyen dört zafiyet için hotfix yayımladı. Şirketin 6 Ekim tarihli güvenlik danışma metnine göre en ciddi açık, kimlik doğrulaması olmadan istismar edilebilen ve CVSS ölçeğinde 10.0 puanla derecelendirilen bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti. SonicWall, dört açıktan hiçbirinin saldırılarda kullanıldığına dair kanıt bulunmadığını bildirdi.
En kritik açık: Ön kimlik doğrulaması gerektirmeyen SSRF
En ciddi zafiyet CVE-2026-102255 olarak takip ediliyor. Açık, SMA1000 kullanıcılarının oturum açtığı portal olan WorkPlace bileşeninde bulunuyor. SonicWall'a göre zafiyet, SonicWall üzerinden geçen kasıtsız bir erişim yolundan kaynaklanıyor ve kimlik doğrulaması öncesinde erişilebilir durumda.
Saldırganın bu yolu kötüye kullanması halinde "dahili işlevlere ulaşabileceği ve yetkisiz işlemler gerçekleştirebileceği" danışma metninde ifade edildi. Şirket, hangi işlevlerin etkilenebileceğine dair ayrıntı paylaşmadı. Bu açık, dört zafiyet arasında hiçbir giriş gerektirmeyen tek zafiyet olarak öne çıkıyor ve bu nedenle en yüksek risk seviyesinde değerlendiriliyor.
Etkilenen modeller ve düzeltilen sürümler
Dört zafiyetin tamamı SMA1000 ailesindeki 6210, 7210 ve 8200v modellerini etkiliyor. Etkilenme durumu platform-hotfix sürümlerine göre belirlendi. SonicWall'ın paylaştığı bilgilere göre sürüm detayları şöyle:
12.4.3 sürüm kolunda 12.4.3-03526 ve daha eski sürümler etkileniyor. 12.4.3-03670 ve üzeri sürümler düzeltilmiş kabul ediliyor.
12.5.0 sürüm kolunda 12.5.0-02952 ve daha eski sürümler etkileniyor. 12.5.0-03082 ve üzeri sürümler düzeltilmiş kabul ediliyor.
Etkilenen sürümler arasında 12.4.3-03526 ve 12.5.0-02952 de yer alıyor. SonicWall, bu iki sürümü 1 Eylül'de istismar edildiğini bildirdiği iki farklı açık için düzeltme olarak duyurmuştu. Bu nedenle halen bu sürümlerde kalan cihazların yeni hotfix'i de yüklemesi gerekiyor.
SonicWall, SSL-VPN özelliğine sahip SonicWall güvenlik duvarlarının ve SMA 100 Serisi cihazların bu dört açıktan etkilenmediğini açıkladı. Hotfix, MySonicWall portalı üzerinden temin edilebiliyor ve kurulum tamamlandığında cihaz yeniden başlatılıyor. Danışma metninde geçici bir çözüm yöntemi listelenmedi.
Giriş gerektiren diğer üç zafiyet
En kritik SSRF dışındaki üç zafiyet yalnızca oturum açıldıktan sonra kullanılabiliyor. Bunlardan ikisi, yöneticilerin cihazı yapılandırdığı Appliance Management Console (AMC) bileşeninde yer alıyor. SonicWall'ın paylaştığı tabloya göre zafiyetlerin dağılımı şu şekilde:
CVE-2026-102255: WorkPlace bileşeninde SSRF, erişim gerektirmiyor, CVSS puanı 10.0
CVE-2026-102256: SMA1000 cihazında işletim sistemi komut enjeksiyonu ve uzaktan kod çalıştırmaya yol açabilecek açık, yönetici girişi gerektiriyor, CVSS puanı 7.8. Etkilenen bileşenin adı açıklanmadı.
CVE-2026-102257: AMC bileşeninde Zip Slip zafiyeti. Saldırgan özel olarak hazırlanmış bir arşiv kullanarak dosyaları hedef klasör dışına çıkarabiliyor ve bu durum uzaktan kod çalıştırmaya yol açabiliyor. AMC girişi gerektiriyor, CVSS puanı 7.2
CVE-2026-102258: AMC bileşeninde depolanmış siteler arası betik çalıştırma (Stored XSS), yönetici girişi gerektiriyor, CVSS puanı 5.5
Bu üç açık, kimlik doğrulaması gerektirdiği için dışarıdan doğrudan erişimle istismar edilemiyor, ancak yetkili bir hesabın ele geçirilmesi durumunda cihaz üzerinde yetkisiz işlemlere zemin hazırlayabiliyor.
Yıl içindeki üçüncü kritik WorkPlace düzeltmesi
SonicWall'ın WorkPlace bileşeninde giriş gerektirmeyen 10.0 puanlı bir SSRF açığını düzeltmesi bu yıl içindeki üçüncü olay oldu. Şirket daha önce 14 Temmuz'da CVE-2026-15409 ve CVE-2026-15410'u, 1 Eylül'de ise CVE-2026-83548 ve CVE-2026-83549'u duyurmuştu.
Her iki duyuruda da şirket, açıkların istismar edildiği saldırıları araştırdığını açıklamıştı. Temmuz ayındaki açıklamada "çok sayıda vaka", Eylül ayındaki açıklamada ise "bir vaka" ifadesi kullanıldı. Her iki çift de giriş gerektirmeyen bir SSRF açığı ile oturum açmış bir yöneticinin cihaz üzerinde komut çalıştırmasına olanak tanıyan ikinci bir açıktan oluşuyordu.
SonicWall, Temmuz ve Eylül aylarında duyurulan bu iki çifti kendi personelinin bulduğunu belirtmişti. Yeni yayımlanan dört zafiyet ise dış araştırmacılara atfedildi.
Araştırmacılar, önceki saldırı zinciri ve yeni hotfix için verilen bilgiler
SonicWall, yeni dört zafiyet için dış araştırmacıları kredilendirdi. Buna göre CVE-2026-102255 ve CVE-2026-102256'yı Anthropic'ten Benoît Sevens, diğer iki açığı ise DigitalCanion SA'den Brian Mariani buldu. Bu iki açıktan biri Trend Micro'nun Zero Day Initiative programı aracılığıyla bildirildi.
Temmuz ayındaki saldırılarda CVE-2026-15409'un, girişi olmayan bir saldırganın yalnızca cihaz içinden yanıt veren servislere tünel açmasına olanak tanıdığı, Rapid7'nin analizine dayandırılarak aktarıldı. Saldırganın daha sonra komutlar çalıştırabildiği ve CVE-2026-15410'u kullanarak cihaz üzerinde tam kontrol anlamına gelen kök erişimi elde edebildiği belirtildi.
SonicWall, yeni SSRF açığı CVE-2026-102255'in diğer üç açıkla aynı şekilde birleştirilip birleştirilemeyeceğine dair bir açıklama yapmadı.
Şirket, Temmuz ve Eylül aylarındaki danışma metinlerinde müşterilerine cihazlarını uzlaşma göstergeleri açısından kontrol etmelerini, herhangi bir gösterge bulunması halinde cihazı yeniden imajlama veya yeniden dağıtma, kullanıcı ve yönetici parolalarını değiştirme ve tek seferlik giriş kodları için kullanılan TOTP jetonlarını sıfırlama talimatı vermişti. Dört yeni zafiyet için ise böyle bir talimat verilmedi.
Sıkça Sorulan Sorular
SonicWall'ın düzelttiği en ciddi açık hangisi ve ne kadar kritik?
En ciddi açık CVE-2026-102255 olarak izlenen SSRF zafiyeti. WorkPlace portalında bulunuyor, ön kimlik doğrulaması olmadan istismar edilebiliyor ve SonicWall tarafından CVSS 10.0 puanıyla derecelendiriliyor.
Hangi cihazlar ve sürümler etkileniyor, hangi sürümler düzeltilmiş kabul ediliyor?
SMA1000 modelleri 6210, 7210 ve 8200v etkileniyor. 12.4.3 kolunda 12.4.3-03526 ve öncesi etkileniyor, 12.4.3-03670 ve sonrası düzeltilmiş. 12.5.0 kolunda 12.5.0-02952 ve öncesi etkileniyor, 12.5.0-03082 ve sonrası düzeltilmiş.
Hotfix nasıl temin ediliyor ve geçici çözüm var mı?
Hotfix MySonicWall portalı üzerinden sağlanıyor ve kurulum sonrası cihaz yeniden başlatılıyor. Kaynak danışma metninde geçici bir çözüm yöntemi listelenmedi.
Dört açıktan herhangi biri saldırılarda kullanılıyor mu?
SonicWall, 6 Ekim tarihli danışma metninde dört açıktan hiçbirinin saldırılarda kullanıldığına dair kanıt bulunmadığını açıkladı. Temmuz ve Eylül aylarında duyurulan önceki SSRF açıkları için ise istismar vakaları araştırılmıştı.
Yeni SSRF açığı diğer açıklarla birleştirilerek kök erişimi sağlayabilir mi?
Kaynak içerikte SonicWall'ın bu konuda bir açıklama yapmadığı belirtildi. Temmuz ayındaki saldırılarda SSRF ile yönetici komut çalıştırma açığının birleştirilerek kök erişimi elde edildiği Rapid7 analizine dayandırılarak aktarılmıştı, ancak yeni dört açık için böyle bir birleştirme teyit edilmedi.
