SonicWall ترقع ثغرة SSRF حرجة بمعامل 10.0 في SMA1000

مقدمة تحليلية

أصدرت SonicWall إصلاحات عاجلة لمعالجة أربع ثغرات أمنية في أجهزة SMA1000 الخاصة بها، والتي تُعد بوابات وصول حاسمة للموظفين عن بُعد إلى شبكات وتطبيقات الشركات. أخطر هذه الثغرات، المصنفة بمعامل CVSS 10.0، هي ثغرة تزوير طلب من جانب الخادم (SSRF) سابقة للمصادقة في WorkPlace، البوابة التي يستخدمها مستخدمو SMA1000 لتسجيل الدخول. هذا العيب، الذي يحمل الرقم التعريفي CVE-2026-102255، يسمح لمهاجم غير مصادق عليه بإرسال طلبات عبر الجهاز والوصول إلى وظائف داخلية حساسة. تؤكد SonicWall، بتاريخ 7 أكتوبر 2026، عدم وجود دليل على استغلال أي من هذه الثغرات الأربع حالياً، لكن تكرار ثغرات SSRF عالية الخطورة في نفس المنتج يشير إلى قصور منهجي يتطلب تدقيقاً فنياً عميقاً.

تأتي هذه الثغرة الجديدة بعد إصلاحات سابقة لثغرات مماثلة تم استغلالها فعلياً هذا العام.

التحليل التقني

تتمحور الثغرة الأكثر خطورة، CVE-2026-102255، حول WorkPlace، وهي بوابة وصول المستخدمين في أجهزة SMA1000. تكمن هذه الثغرة من نوع SSRF في مسار وصول غير مقصود عبر SonicWall يمكن الوصول إليه قبل عملية المصادقة. يمكن للمهاجمين، عبر استغلال هذا المسار، "الوصول إلى وظائف داخلية وتنفيذ عمليات غير مصرح بها"، حسب بيان SonicWall الأمني بتاريخ 6 أكتوبر، دون تحديد الوظائف المستهدفة. تم تصنيف هذه الثغرة بمعامل CVSS 10.0 من قبل SonicWall، مما يشير إلى أقصى درجات الخطورة.

تتأثر جميع موديلات SMA1000، وهي 6210 و7210 و8200v، بالإصدارات التالية قبل تطبيق الإصلاحات:

• الإصدار 12.4.3: تتأثر الإصدارات 12.4.3-03526 والإصدارات الأقدم. تم الإصلاح في الإصدارات 12.4.3-03670 وما فوق.
• الإصدار 12.5.0: تتأثر الإصدارات 12.5.0-02952 والإصدارات الأقدم. تم الإصلاح في الإصدارات 12.5.0-03082 وما فوق.

من اللافت أن الإصدارين 12.4.3-03526 و12.5.0-02952، اللذين كانت SonicWall قد أعلنت عنهما في 1 سبتمبر كإصلاح لثغرتين سابقتين تم استغلالهما، ما زالا يتطلبان الإصلاح العاجل الجديد. هذا يعني أن الإصلاحات السابقة لم تكن شاملة. لم تتأثر خدمة SSL-VPN على جدران حماية SonicWall وسلسلة SMA 10 بهذه الثغرات. يتم توفير الإصلاح العاجل عبر بوابة MySonicWall، ويتطلب الجهاز إعادة تشغيل عند الانتهاء من التثبيت، ولم يتم ذكر أي حلول بديلة.

الثغرات الثانوية

تتضمن الحزمة ثلاثة عيوب أخرى تتطلب تسجيل الدخول للاستغلال:

• CVE-2026-102256: ثغرة حقن أوامر نظام التشغيل (OS command injection) يمكن أن تؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) في جهاز SMA1000، تتطلب صلاحيات المشرف، بمعامل CVSS 7.8. اكتشفها Benoît Sevens من Anthropic.
• CVE-2026-102257: ثغرة Zip Slip في Appliance Management Console (AMC) تسمح للمهاجم باستخدام أرشيف خاص لاستخراج الملفات خارج المجلد المقصود، مما قد يؤدي إلى RCE، تتطلب تسجيل الدخول، بمعامل CVSS 7.2. اكتشفها Brian Mariani من DigitalCanion SA عبر Trend Micro's Zero Day Initiative.
• CVE-2026-102258: ثغرة تخزين Cross-site scripting (XSS) في AMC، تتطلب صلاحيات المشرف، بمعامل CVSS 5.5. اكتشفها أيضاً Brian Mariani من DigitalCanion SA.

السياق وتأثير السوق

يمثل هذا الإصلاح العاجل المرة الثالثة هذا العام التي تعالج فيها SonicWall ثغرة SSRF سابقة للمصادقة مصنفة بمعامل 10.0 في WorkPlace. في 14 يوليو، كشفت الشركة عن CVE-2026-15409 وCVE-2026-15410، حيث كانت CVE-2026-15409 ثغرة SSRF لا تتطلب تسجيل الدخول. وفي 1 سبتمبر، أبلغت عن CVE-2026-83548 وCVE-2026-83549، وهي أيضاً ثغرات SSRF مماثلة. في كلتا الحالتين السابقتين، أكدت SonicWall أنها حققت في هجمات استغلت الثغرات: "حالات متعددة" في يوليو و"حالة واحدة" في سبتمبر. تمكنت CVE-2026-15409 في هجمات يوليو من فتح نفق لخدمات لا تستجيب إلا داخل الجهاز، وفقاً لـ Rapid7، مما سمح للمهاجم بتنفيذ الأوامر والحصول على وصول الجذر (root access) للجهاز بالكامل باستخدام CVE-2026-15410.

يعكس هذا النمط المتكرر من الثغرات الحرجة في مكون WorkPlace ضعفاً بنيوياً في أجهزة SMA1000 مقارنة بمنتجات المنافسين أو حتى منتجات SonicWall الأخرى التي توفر حلول وصول آمنة، مثل جدران حماية SonicWall التي لم تتأثر بهذه الثغرات المحددة. الثغرات السابقة تم اكتشافها بواسطة موظفي SonicWall أنفسهم، بينما الثغرات الأربع الجديدة تم الإبلاغ عنها من قبل باحثين خارجيين: Benoît Sevens من Anthropic (لثغرتي CVE-2026-102255 وCVE-2026-102256) وBrian Mariani من DigitalCanion SA (للثغرتين الأخريين). لم تحدد SonicWall ما إذا كان بالإمكان الجمع بين ثغرة SSRF الجديدة والثغرات الثلاث الأخرى بنفس الطريقة التي تم بها الجمع بين الثغرات السابقة للوصول إلى الجذر. كما أن SonicWall لم تصدر أي تعليمات للعملاء للتحقق من مؤشرات الاختراق أو إعادة تهيئة الأجهزة وتغيير كلمات المرور أو إعادة تعيين رموز TOTP، على عكس إرشاداتها في يوليو وسبتمبر، وهذا قد يوحي بتقييم مختلف للمخاطر المحتملة أو بوجود فهم غير معلن عن طبيعة الاستغلال.