Le appliance di accesso remoto sono, per definizione, esposte a Internet: sono la porta d'ingresso legittima con cui dipendenti e fornitori entrano nella rete aziendale. Ed è esattamente quella porta che due nuove vulnerabilità zero-day nei gateway SonicWall SMA serie 1000 hanno trasformato in un varco per gli attaccanti. SonicWall ha confermato lo sfruttamento attivo e ha pubblicato gli hotfix, con l'invito a installarli senza attendere la consueta finestra di manutenzione.

Cosa è successo

Le falle sono due e vengono usate in combinazione. La prima, CVE-2026-15409, è una Server-Side Request Forgery (SSRF) con punteggio CVSS 10.0, il massimo: risiede nell'interfaccia Appliance Work Place della SMA 1000 e può essere innescata da un attaccante remoto non autenticato, costringendo l'appliance a effettuare richieste verso destinazioni non previste. La seconda, CVE-2026-15410 (CVSS 7.2), è una code injection post-autenticazione nella Appliance Management Console: consente a un amministratore autenticato di eseguire comandi arbitrari sul sistema operativo.

A scoprire lo sfruttamento è stato il team MDR di Rapid7, che ha osservato le due vulnerabilità concatenate in incidenti reali: l'SSRF apre la breccia, la code injection porta all'esecuzione di comandi. Ma il dettaglio che alza il livello di allarme è cosa fanno gli attaccanti una volta dentro: esfiltrano credenziali, database delle sessioni attive e le configurazioni dei seed TOTP usati per l'autenticazione a più fattori. Non si tratta quindi di un accesso momentaneo, ma della costruzione di una persistenza duratura.

Le versioni interessate sono le SMA 1000 modelli 6210, 7210 e 8200v. La correzione è negli hotfix 12.4.3-03453 e 12.5.0-02835. Trattandosi di zero-day — sfruttate prima che la patch fosse disponibile — non esiste una "finestra di sicurezza" pregressa: chi ha l'appliance esposta deve considerare la possibilità di essere già stato colpito. Negli Stati Uniti la CISA ha inserito le falle sotto la Binding Operational Directive 26-04, imponendo alle agenzie federali di mettere in sicurezza i sistemi entro il 17 luglio 2026 o di dismetterli.

Cosa significa per le aziende italiane

SonicWall è un marchio molto diffuso nel tessuto delle PMI e della pubblica amministrazione locale italiana, spesso scelto proprio come soluzione di accesso remoto e VPN a costo contenuto. È il tipo di dispositivo che si installa, si configura una volta e si dimentica — ed è precisamente questo l'errore su cui gli attaccanti contano.

Il punto da capire, e che distingue questo incidente da una normale vulnerabilità da patchare, è la natura di ciò che viene rubato. Applicare l'hotfix chiude la porta, ma non espelle un attaccante che sia già entrato. Se sono stati esfiltrati i seed TOTP, l'attaccante può generare autonomamente i codici MFA validi degli utenti: reimpostare le password non basta, perché il secondo fattore è compromesso alla radice. Se sono stati copiati i database delle sessioni, può riutilizzare token di sessione ancora validi bypassando del tutto il login. È la stessa dinamica già vista con Citrix e altri gateway negli ultimi anni: le appliance perimetrali sono diventate il bersaglio preferito per l'accesso iniziale, perché offrono un unico punto da cui raccogliere le chiavi di tutta la rete.

Per un'azienda italiana esposta, quindi, la domanda non è solo "ho applicato la patch?", ma "devo assumere di essere stato compromesso e agire di conseguenza?". Per chi aveva l'SMA 1000 raggiungibile da Internet, la risposta prudente è sì.

Contesto normativo

Molte delle organizzazioni che usano questi gateway rientrano nel perimetro NIS2 come soggetti essenziali o importanti: un accesso non autorizzato al gateway di accesso remoto è, con ogni probabilità, un incidente con impatto significativo, da notificare al CSIRT Italia nei tempi previsti (pre-notifica entro 24 ore, notifica entro 72). Se nella compromissione sono coinvolti dati personali — e le credenziali degli utenti lo sono — scatta anche l'obbligo GDPR di notifica al Garante entro 72 ore dalla presa di conoscenza della violazione. Il consiglio da consulente è di non trattare i due binari come separati: la stessa analisi forense che serve a capire l'estensione tecnica dell'incidente produce le informazioni richieste da entrambe le notifiche.

Cosa fare subito

  • Applicare immediatamente l'hotfix 12.4.3-03453 o 12.5.0-02835 sulle appliance SMA 1000 (modelli 6210, 7210, 8200v).
  • Se l'appliance era esposta a Internet, assumere la compromissione: forzare il reset di tutte le credenziali, invalidare tutte le sessioni attive e ri-registrare l'MFA generando nuovi seed TOTP.
  • Cercare negli log indicatori di accesso anomalo e di esfiltrazione, con particolare attenzione al periodo precedente all'installazione della patch.
  • Ridurre l'esposizione della Appliance Management Console, limitandone l'accesso ai soli indirizzi di gestione e mai all'intera Internet.
  • Verificare l'advisory ufficiale SonicWall e il catalogo CISA KEV per aggiornamenti sugli indicatori di compromissione.

Chi gestisce un gateway di accesso remoto dovrebbe trarne una regola generale: questi dispositivi vanno inseriti nel programma di patch management con la stessa priorità dei server critici, e ogni loro compromissione va gestita partendo dal presupposto che l'attaccante volesse le chiavi, non la stanza.