حذرت SonicWall في 2 سبتمبر 2026 من استغلال نشط لثغرتين صفريتي اليوم في أجهزة الوصول الآمن عن بُعد SMA1000، مؤكدة أن المهاجمين يربطون بينهما لتنفيذ هجمات تتيح تنفيذ أوامر عن بُعد على الأجهزة المتأثرة. وطلبت الشركة من العملاء تثبيت إصدار الإصلاح العاجل الأحدث في أسرع وقت ممكن.
الثغرة الأولى تحمل المعرف CVE-2026-83548، وتوجد في واجهة Appliance WorkPlace، وتُصنف كخلل في حقن الأوامر بأقصى درجات الخطورة. وترتبط المشكلة بضعف من نوع تزوير الطلبات من جانب الخادم، أو SSRF، يمكن استخدامه ضمن سلسلة الاستغلال للوصول إلى تنفيذ أوامر على الجهاز.
أما الثغرة الثانية، CVE-2026-83549، فتوجد في Appliance Management Console. ويستطيع مهاجم يملك صلاحيات إدارية استغلالها لتنفيذ أوامر نظام تشغيل عشوائية على الأجهزة غير المحدثة. وبحسب تحذير SonicWall، فإن الاستغلال الجاري يجمع بين الثغرتين بدلاً من التعامل مع كل واحدة منهما كمسار منفصل.
الأجهزة المتأثرة وإجراءات الاستجابة
تتأثر بالثغرتين طرز SMA1000 6210 وSMA1000 7210 وSMA1000 8200v، سواء كانت الأجهزة افتراضية أو فعلية. وأوضحت الشركة أن خدمة SSL-VPN العاملة على جدران SonicWall النارية، وكذلك منتجات SMA 100 Series، ليست ضمن نطاق التأثر المذكور في التحذير.
إلى جانب تثبيت الإصلاح العاجل، أوصت SonicWall مسؤولي الأنظمة بإعادة إنشاء صورة الجهاز، وتغيير كلمات مرور المستخدمين والمديرين، وإعادة ضبط رموز المصادقة متعددة العوامل المعتمدة على TOTP إذا ظهرت مؤشرات اختراق. غير أن الشركة لم تنشر حتى الآن تفاصيل الهجمات الجارية أو قائمة بمؤشرات الاختراق التي عثرت عليها خلال التحقيق.
لماذا يهم هذا الخبر؟
تستضيف أجهزة SMA1000 وظائف وصول عن بُعد تستخدمها مؤسسات كبيرة وجهات حكومية ومنظمات للبنية التحتية الحيوية، ما يجعل اختراقها ذا أثر يتجاوز جهازاً منفرداً. ووفق بيانات Shadowserver التي أوردها التقرير، هناك أكثر من 400 جهاز SMA1000 مكشوف على الإنترنت، مع احتمال أن يكون بعض هذه الأجهزة قد حصل بالفعل على التصحيح.
عملياً، لا يكفي تثبيت الإصلاح إذا كانت مؤشرات الاختراق موجودة؛ إذ تشير توصيات SonicWall إلى ضرورة التعامل مع الجهاز والحسابات ورموز المصادقة كعناصر قد تكون تعرضت للخطر. وتبقى قدرة فرق الدفاع على التحقق من الحوادث محدودة نسبياً في ظل غياب قائمة مؤشرات اختراق رسمية من الشركة.
سياق أمني متكرر
تأتي الحادثة بعد استغلال ثغرتين أخريين في SMA1000، هما CVE-2026-15409 وCVE-2026-15410، خلال يوليو 2026 في هجمات استمرت لأسابيع وثبت خلالها تثبيت برمجيات خبيثة مخصصة على أجهزة VPN متأثرة. وفي الشهر التالي أكدت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) أن عصابات برمجيات الفدية بدأت استغلال الثغرتين فعلياً.
كما حذرت SonicWall في ديسمبر من ثغرة أخرى في SMA1000، هي CVE-2025-40602، استُخدمت مع ثغرات أخرى للحصول على صلاحيات الجذر. ويعني تكرار الاستغلال أن مسؤولي الأجهزة المعنية يحتاجون إلى مراجعة حالة التصحيحات وسجلات الوصول، لا الاكتفاء بانتظار ظهور تحذير جديد.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.