SonicWall แพตช์ช่องโหว่ SSRF CVSS 10.0 ใน SMA1000 ไม่ต้องล็อกอิน — ครั้งที่สามของปีใน WorkPlace และเวอร์ชันที่แก้ช่องโหว่ถูกโจมตีเมื่อกันยายนก็ยังได้รับผลกระทบ

สรุปสั้น

บริษัท SonicWall ออก hotfix แก้ช่องโหว่ 4 รายการในอุปกรณ์ SMA1000 ซึ่งเป็นเกตเวย์ที่ให้พนักงานเข้าถึงเครือข่ายและแอปพลิเคชันขององค์กรจากระยะไกล ช่องโหว่ร้ายแรงที่สุดคือ CVE-2026-102255 ช่องโหว่ server-side request forgery (SSRF) ใน WorkPlace ซึ่งเป็นพอร์ทัลที่ผู้ใช้ SMA1000 ล็อกอิน SonicWall ให้คะแนน CVSS 10.0 เพราะผู้โจมตีส่งคำขอผ่านอุปกรณ์ไปยังฟังก์ชันภายในได้โดยไม่ต้องล็อกอิน อีก 3 ช่องโหว่ใช้ได้หลังล็อกอินเท่านั้น รวมถึง OS command injection ที่อาจนำไปสู่การรันโค้ดระยะไกล SonicWall ระบุว่ายังไม่พบหลักฐานว่าช่องโหว่ใดในชุดนี้ถูกใช้โจมตีจริง

ประเด็นที่ผู้ดูแลระบบต้องระวังมีสองข้อ ข้อแรก เวอร์ชันที่ได้รับผลกระทบรวมถึง 12.4.3-03526 และ 12.5.0-02952 ซึ่ง SonicWall เพิ่งประกาศเมื่อ 1 กันยายนว่าเป็นเวอร์ชันแก้ช่องโหว่ 2 รายการที่ถูกโจมตีจริง อุปกรณ์ที่อัปเดตไว้เมื่อเดือนกันยายนจึงยังต้องอัปเดตอีกรอบ ข้อที่สอง นี่เป็นครั้งที่สามของปีที่ SonicWall แก้ SSRF ระดับ 10.0 ใน WorkPlace ที่ไม่ต้องล็อกอิน สองครั้งก่อนหน้าเมื่อกรกฎาคมและกันยายนถูกโจมตีจริงทั้งคู่ และในการโจมตีเดือนกรกฎาคม SSRF ถูกใช้ร่วมกับช่องโหว่อีกตัวจนผู้โจมตียึดสิทธิ์ root ได้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า SonicWall ออกประกาศความปลอดภัย SNWLID-2026-0017 ลงวันที่ 6 ตุลาคม ระบุว่า CVE-2026-102255 เกิดจากเส้นทางการเข้าถึงที่ไม่ได้ตั้งใจเปิดไว้ และเข้าถึงได้ก่อนการยืนยันตัวตน ผู้โจมตีที่ใช้เส้นทางนี้จะ “เข้าถึงฟังก์ชันภายในและทำการที่ไม่ได้รับอนุญาตได้” แต่ SonicWall ไม่ได้ระบุว่าเป็นฟังก์ชันใด

ช่องโหว่ชุดนี้ต่างจากสองชุดก่อนที่พนักงาน SonicWall พบเอง ครั้งนี้ SonicWall ให้เครดิตนักวิจัยภายนอก ได้แก่ นาย Benoît Sevens จากบริษัท Anthropic สำหรับ CVE-2026-102255 และ CVE-2026-102256 และนาย Brian Mariani จากบริษัท DigitalCanion SA สำหรับอีก 2 รายการ ซึ่งรายการหนึ่งรายงานผ่าน Zero Day Initiative ของ Trend Micro

SonicWall ยังไม่ได้บอกว่า SSRF ตัวใหม่ใช้ร่วมกับอีก 3 ช่องโหว่แบบเดียวกับการโจมตีเดือนกรกฎาคมได้หรือไม่ และต่างจากประกาศเดือนกรกฎาคมและกันยายน ครั้งนี้ไม่มีคำแนะนำให้ตรวจ IoC หรือติดตั้งอุปกรณ์ใหม่ ซึ่งสอดคล้องกับการที่ยังไม่พบการโจมตีจริง

รายละเอียดช่องโหว่

อุปกรณ์และเวอร์ชันที่ได้รับผลกระทบ ทั้ง 4 ช่องโหว่กระทบ SMA1000 รุ่น 6210, 7210 และ 8200v

SSL-VPN บนไฟร์วอลล์ SonicWall และ SMA 100 Series ไม่ได้รับผลกระทบ hotfix ดาวน์โหลดได้จาก MySonicWall อุปกรณ์จะรีสตาร์ตเมื่อติดตั้งเสร็จ และไม่มีวิธีบรรเทาชั่วคราว (workaround)

ประวัติ SSRF ใน WorkPlace ปีนี้ วันที่ 14 กรกฎาคม SonicWall เปิดเผย CVE-2026-15409 และ CVE-2026-15410 (โพสต์ 07/139) และวันที่ 1 กันยายนเปิดเผย CVE-2026-83548 และ CVE-2026-83549 ทั้งสองครั้งเป็นคู่ของ SSRF ที่ไม่ต้องล็อกอินกับช่องโหว่ที่ให้ผู้ดูแลที่ล็อกอินแล้วรันคำสั่งได้ และทั้งสองครั้ง SonicWall ระบุว่าได้สอบสวนการโจมตีจริง คือ “หลายกรณี” ในเดือนกรกฎาคม และ “หนึ่งกรณี” ในเดือนกันยายน บริษัท Rapid7 อธิบายว่าในการโจมตีเดือนกรกฎาคม CVE-2026-15409 ทำให้ผู้โจมตีที่ไม่ได้ล็อกอินเปิด tunnel ไปยังบริการที่ตอบเฉพาะภายในอุปกรณ์ได้ แล้วรันคำสั่งและใช้ CVE-2026-15410 ยกระดับเป็น root ยึดอุปกรณ์ได้ทั้งเครื่อง (โพสต์ 07/220)

ผลกระทบ

แม้ยังไม่พบการโจมตีจริง แต่ประวัติปีนี้ชี้ว่าช่องโหว่ใน WorkPlace ถูกนำไปใช้เร็ว คู่ช่องโหว่เดือนกรกฎาคมถูกใช้โดยกลุ่ม UTA0533 ตั้งแต่ก่อนแพตช์ออก และต่อมาแรนซัมแวร์ INC ก็ใช้อย่างกว้างขวาง (โพสต์ 08/019) รวมถึงแคมเปญกวาดเจาะ SMA1000 ที่โยงกับเหตุโจมตีสภาเทศบาลในอังกฤษ (โพสต์ 09/085) ผู้โจมตีกลุ่มเดิมจึงมีทั้งแรงจูงใจและความรู้เรื่องโครงสร้างภายในของอุปกรณ์นี้ การที่แพตช์ออกพร้อมรายละเอียดว่าเป็น SSRF ก่อนล็อกอินใน WorkPlace ยังให้จุดเริ่มต้นแก่การทำ patch diffing

อุปกรณ์เข้าถึงระยะไกลอย่าง SMA1000 อยู่ขอบเครือข่ายและถือ credential ของผู้ใช้ทั้งองค์กร การถูกยึดจึงเปิดทางเข้าเครือข่ายภายในทั้งหมด องค์กรที่คิดว่าปลอดภัยแล้วเพราะอัปเดตเมื่อเดือนกันยายน คือกลุ่มที่เสี่ยงที่สุดจะพลาดรอบนี้

คำแนะนำ

• อัปเดต SMA1000 รุ่น 6210, 7210 และ 8200v เป็น 12.4.3-03670 หรือ 12.5.0-03082 ขึ้นไปทันที แม้จะเพิ่งอัปเดตเมื่อเดือนกันยายนก็ตาม
• วางแผนช่วงเวลาติดตั้ง เพราะอุปกรณ์จะรีสตาร์ตหลังติดตั้ง hotfix และไม่มี workaround ให้ใช้ระหว่างรอ
• จำกัดการเข้าถึง Appliance Management Console (AMC) ให้มาจากเครือข่ายจัดการเท่านั้น เพื่อลดความเสี่ยงจาก CVE-2026-102256, 102257 และ 102258
• องค์กรที่ยังไม่เคยตรวจ IoC ตามประกาศเดือนกรกฎาคมและกันยายน ควรตรวจย้อนหลัง หากพบร่องรอยให้ติดตั้งอุปกรณ์ใหม่ เปลี่ยนรหัสผ่านผู้ใช้และผู้ดูแล และรีเซ็ต TOTP ตามที่ SonicWall เคยแนะนำ
• เฝ้าระวังคำขอผิดปกติไปยังพอร์ทัล WorkPlace และการเรียกบริการภายในของอุปกรณ์ ซึ่งเป็นรูปแบบเดียวกับการใช้ SSRF ในการโจมตีครั้งก่อน

แหล่งอ้างอิง

• SonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances — The Hacker News
• SNWLID-2026-0017 — SonicWall PSIRT
• CVE-2026-102255 — CVE.org
• Rapid7 MDR Team Discovers New SonicWall SMA1000 Zero-Days Being Actively Exploited — Rapid7