CISA alerta para falhas exploradas no SonicWall

A Cybersecurity and Infrastructure Security Agency (CISA) adicionou duas vulnerabilidades que afetam equipamentos SonicWall SMA1000 ao catálogo Known Exploited Vulnerabilities (KEV), confirmando que as falhas estão a ser exploradas ativamente em ataques.

As vulnerabilidades, identificadas como CVE-2026-83549 e CVE-2026-83548, foram adicionadas ao catálogo a 2 de setembro. As agências civis federais norte-americanas abrangidas têm até 5 de setembro de 2026 para aplicar as medidas exigidas pela CISA.

Os SMA1000 são utilizados para disponibilizar acesso remoto seguro a redes empresariais. Por estarem normalmente posicionados no perímetro da infraestrutura e processarem ligações de utilizadores com acesso a recursos internos, a sua compromissão pode facilitar o acesso a outros sistemas da organização.

A CVE-2026-83549 corresponde a uma vulnerabilidade de injeção de comandos no sistema operativo, classificada como CWE-78. A exploração exige que o atacante esteja previamente autenticado como administrador, mas permite executar comandos arbitrários no equipamento afetado.

Esta capacidade pode ser utilizada para alterar configurações, executar código ou estabelecer mecanismos de persistência no dispositivo comprometido.

A CVE-2026-83548, por sua vez, é uma vulnerabilidade de Server-Side Request Forgery (SSRF) associada às classificações CWE-918 e CWE-441. Neste caso, um atacante remoto não autenticado pode explorar a falha para aceder a funcionalidades sensíveis e realizar operações não autorizadas.

Um ataque SSRF leva o sistema vulnerável a efetuar pedidos em nome do atacante, possibilitando o acesso a recursos que não estariam diretamente acessíveis a partir do exterior.

A CISA determina que as duas vulnerabilidades sejam sujeitas a triagem forense ao abrigo da Binding Operational Directive 26-04, pelo que a resposta não se limita à instalação das atualizações ou aplicação das medidas de mitigação.

As organizações afetadas devem verificar se os equipamentos SMA1000 estão expostos à Internet e analisar atividade de autenticação e administração. Alterações inesperadas de configuração, criação de novas contas, processos desconhecidos, pedidos anómalos ou ligações de saída suspeitas podem justificar uma investigação adicional.

O catálogo da CISA indica como desconhecida a utilização destas vulnerabilidades em campanhas de ransomware. A exploração ativa está, contudo, confirmada.

A agência recomenda a aplicação imediata das medidas disponibilizadas pela SonicWall e a realização da análise forense indicada. Caso não existam medidas de mitigação adequadas, a orientação da CISA prevê que seja considerada a descontinuação da utilização do produto afetado.