CVE-2026-102255: SonicWall corrige SSRF crítico no SMA 1000
A SonicWall corrigiu em 6 de outubro uma falha de SSRF (server-side request forgery) pré-autenticação nos gateways SMA 1000, identificada como CVE-2026-102255 e classificada com CVSS 10.0 — nota máxima. A vulnerabilidade está na interface Work Place e permite que um atacante remoto, sem credenciais, force o próprio appliance a fazer requisições para destinos internos da rede.
Quem é afetado
A falha atinge os modelos SMA 1000 6210, 7210 e 8200v (físicos e virtuais) em builds de firmware anteriores a:
- 12.4.3-03670 (vinha exposto quem estava em 12.4.3-03526 ou anterior)
- 12.5.0-03082 (vinha exposto quem estava em 12.5.0-02952 ou anterior)
A SonicWall descreve isso como um “caminho de acesso alternativo não intencional” — ou seja, a interface responde a requisições que não deveriam chegar até ela. A série SMA 100 e o SSL-VPN dos firewalls SonicWall de rede não entram nessa falha específica (SNWLID-2026-0017), que também cobre três CVEs secundários: injeção de comando via painel administrativo (CVE-2026-102256, CVSS 7.8, exige login de admin), Zip Slip no AMC (CVE-2026-102257, CVSS 7.2) e XSS armazenado no AMC (CVE-2026-102258, CVSS 5.5).
Está sendo explorada? As fontes divergem
Aqui vale registrar a divergência em vez de cravar uma versão. A própria SonicWall afirma não ter evidência de exploração ativa desta falha até a publicação do hotfix. Já a Previdian, empresa de inteligência de ameaças que opera honeypots, registrou 135 tentativas de exploração partindo de 2 endereços IP (ambos nos EUA, vistos por um único sensor), com a primeira ocorrência em 9 de outubro e a última em 10 de outubro. A própria Previdian reconhece que a telemetria é limitada — um sensor, dois IPs, poucos dias — e que “tentativa” em honeypot pode incluir varredura automatizada, não necessariamente exploração bem-sucedida. Até a apuração desta matéria, a CVE-2026-102255 não constava no catálogo KEV da CISA, e a NVD mantém o registro como “Awaiting Analysis”, repetindo apenas a nota da SonicWall.
O contexto importa: é a terceira falha de SSRF pré-autenticação no SMA 1000 em 2026. A de julho (CVE-2026-15409, SNWLID-2026-0008) entrou no KEV no mesmo dia da divulgação, com uso confirmado em ransomware. A de setembro (CVE-2026-83548, SNWLID-2026-0016) também teve CVSS 10.0. Ou seja, quem só corrigiu as versões de julho ou setembro ainda está exposto a esta aqui — são builds diferentes.
O que fazer agora
- Confirme a build instalada em cada SMA 1000 (Appliance > Status) e compare com 12.4.3-03670 / 12.5.0-03082.
- Atualize para a build corrigida pelo caminho oficial de download da SonicWall. Não há mitigação ou contorno publicado além da atualização.
- Priorize os appliances expostos à internet — o Shadowserver chegou a contar mais de 400 instâncias do SMA 1000 acessíveis publicamente, embora parte já esteja corrigida.
- Revise logs de acesso à interface Work Place por padrões incomuns e confira se há requisições internas inesperadas partindo do próprio appliance.
- Se encontrar indício de comprometimento, trate como incidente: revise contas privilegiadas, procure mudanças de configuração não explicadas e mantenha backups à mão antes de qualquer reversão.
Perguntas frequentes
Preciso agir mesmo sem confirmação de exploração?
Sim. CVSS 10.0 pré-autenticação em um gateway de acesso remoto exposto à internet é motivo suficiente, independente de a exploração estar confirmada ou só sob suspeita.
Atualizar para a build de setembro já resolve?
Não. As builds 12.4.3-03526 e 12.5.0-02952, que corrigiam a falha de setembro, são justamente os limites “e anterior” que ainda estão vulneráveis a esta CVE de outubro. É preciso ir para 12.4.3-03670 ou 12.5.0-03082.
SMA 100 ou o SSL-VPN do firewall também precisam de patch?
Não para esta CVE específica — a SonicWall não lista esses produtos como afetados pelo SNWLID-2026-0017.
Conclusão
O hotfix já está disponível desde 6 de outubro; o risco agora é operacional, não técnico — é aplicar antes que a telemetria de tentativas, ainda que controversa, se confirme como exploração efetiva. Quem administra SMA 1000 exposto à internet deveria tratar a atualização como tarefa de hoje, não da próxima janela de manutenção.
