SonicWall SMA 1000 兩漏洞已有人利用：三款設備要即升級兼查入侵
6210、7210、8200v 有修補，CMS 管理員亦要即時核對
唔好當成全部 SonicWall 防火牆
SonicWall 7 月 14 日話，SMA 1000 系列有兩個漏洞正俾人用嚟發動攻擊，公司已經處理過多宗個案。iThome 報道用「防火牆」概括件事，容易令人誤會成條 SonicWall 產品線都有事。官方界線其實好清楚：重點係 SMA 6210、7210 同 8200v，SonicWall 防火牆本身嘅 SSL-VPN 同 SMA 100 系列唔受呢次漏洞影響。SMA 1000 主要做企業遙距存取同 SSL VPN，產品定位同 SonicOS 防火牆有分別。
範圍仲有一點要小心。SonicWall PSIRT 公告嘅受影響表格暫時淨係列出三款 SMA，不過 SMA1000 產品團隊帳號喺社群通知就把 Central Management Server（CMS）一併列入。兩邊寫法未完全對齊，CMS 管理員唔好靠估；如果 CMS 行緊下文列出嘅 build，要即刻經 MySonicWall 或 SonicWall 支援核對對應 hotfix，確認後升級。
圖片：SonicWall
10 分同 7.2 分，要分開睇
CVE-2026-15409 嘅 CVSS 係 10.0，漏洞喺 WorkPlace 介面，攻擊者毋須登入，就有機會逼部 appliance 向非預期位置發出請求，屬於 SSRF。CVE-2026-15410 就係 7.2 分，出現喺 Appliance Management Console；攻擊者要先有管理員身分，再喺特定條件下注入程式碼，執行任意 OS 指令。成份公告嘅最高評分係 10.0，唔代表兩個洞都係滿分，前置條件亦差好遠。
美國 CISA 已經喺 7 月 14 日把兩個 CVE 都加入 Known Exploited Vulnerabilities 清單，要求當地聯邦機構 7 月 17 日前處理。呢個期限唔適用於香港公司，不過兩個漏洞一齊入 KEV，已經足夠反映實際攻擊風險。SonicWall 暫時冇公開完整攻擊鏈，所以亦唔應該自行假設 7.2 分嗰個有管理員門檻就可以遲啲先理；遙距存取設備通常直接面向外網，出事後牽涉嘅係通往內部系統嘅入口。
對版本要逐個 build 睇
官方列咗六個確實受影響嘅 platform-hotfix build：12.4.3-03245、12.4.3-03387、12.4.3-03434、12.5.0-02283、12.5.0-02624 同 12.5.0-02800。行 12.4.3 分支要升上 12.4.3-03453 或之後版本；行 12.5.0 分支就要升上 12.5.0-02835 或之後版本。版本號唔係單純睇大細就判斷到，管理員要逐個 build 對。SonicWall 亦講明冇其他 workaround，改 firewall rule 或等下一個維護周期都唔等於修補。
升完 hotfix 未算收工。官方叫管理員檢查 extraweb_access.log 有冇 /__api__/login、/__api__/logout 回傳 HTTP 200，亦要搵 /wsproxy 帶可疑 host 參數兼回傳 HTTP 101 嘅記錄；ctrl-service.log 出現帶 path traversal 名稱嘅 hotfix rollback，或者 /var/lib/unit/conf.json 多咗上述 login／logout route，都係 IoC。任何一項命中，就要保留記錄同啟動事故處理，硬件 appliance 要重新灌機，虛擬版要重新部署，跟住更換用戶及管理員密碼，再重設 TOTP token。
公司 IT 今日要做咩
企業、學校、機構同 MSP 如果有用以上型號，今日先盤點實體機、8200v 同 CMS 嘅完整版本，安排 hotfix，再按官方清單查 IoC；只喺資產表寫「SonicWall VPN」並唔夠準，容易漏咗虛擬 appliance 或中央管理節點。暫時未見香港專屬受害數字，亦冇本地通報證實有機構中招，但呢類 gateway 本身就係外網入口，等公開本地災情先郁手會太遲。有 IoC 就按入侵事故處理，冇 IoC 都要完成升級同保留核查紀錄。
參考來源
- iThome — SonicWall修補防火牆已遭利用的滿分漏洞 — original report
- SonicWall PSIRT Security Advisory SNWLID-2026-0008 — 官方漏洞公告，列明兩個 CVE 嘅評分、前置條件、受影響 build、修補版本同 IoC。
- SonicWall Support Notice — 官方事故處理指引，補充升級、入侵核查同重建設備安排。
- CISA Known Exploited Vulnerabilities Catalog — 確認兩個漏洞已有實際利用證據，並列出美國聯邦機構處理期限。
- SonicWall SMA1000 產品團隊社群通知 — 補充 CMS 受影響範圍說法，同埋 platform hotfix 資料。
- SonicWall Secure Mobile Access 1000 Series 產品頁 — 核對 SMA 1000 嘅遙距存取定位，避免同一般 SonicOS 防火牆混為一談。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
