CISA: Celah SonicWall SMA1000 Kini Dieksploitasi Geng Ransomware
Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memperingatkan bahwa dua kerentanan pada SonicWall SMA1000 kini telah dimanfaatkan oleh kelompok ransomware dalam serangan terhadap perangkat yang belum diperbarui.
Kedua celah keamanan tersebut, yang dilacak sebagai CVE-2026-15409 dan CVE-2026-15410, sebelumnya telah ditambal oleh SonicWall pada pertengahan Juli. Salah satunya merupakan kerentanan Server-Side Request Forgery (SSRF) dengan tingkat keparahan maksimum.
SMA1000 merupakan perangkat secure remote access gateway kelas enterprise yang digunakan perusahaan besar, lembaga pemerintah, serta Managed Service Provider (MSSP) untuk menyediakan akses VPN menuju aplikasi internal dan jaringan perusahaan.
Dua Kerentanan Sebelumnya Sudah Dieksploitasi sebagai Zero-Day
SonicWall merilis pembaruan keamanan untuk CVE-2026-15409 dan CVE-2026-15410 pada pertengahan Juli sekaligus mengungkap bahwa kedua kerentanan tersebut telah digunakan dalam serangan zero-day.
Perusahaan saat itu meminta pelanggan segera memasang hotfix karena telah menerima laporan mengenai eksploitasi aktif terhadap perangkat SMA1000.
Investigasi selanjutnya menunjukkan bahwa serangan sebenarnya telah berlangsung sebelum kerentanan tersebut diketahui publik.
Perusahaan keamanan siber Volexity menemukan bahwa aktor ancaman yang dilacak sebagai UTA0533 mulai mengeksploitasi kedua celah tersebut setidaknya sejak 22 Juni 2026.
Serangan tersebut digunakan untuk memasang sejumlah malware khusus pada perangkat VPN yang rentan, termasuk KNUCKLEBALL, Sou5, ROOTRUN, dan ORANGETAIL.
Artinya, eksploitasi terhadap SMA1000 bukan sekadar ancaman teoretis. Perangkat yang belum dipatch telah menjadi sasaran nyata sebelum vendor mengumumkan kerentanannya.
Kini Ransomware Ikut Memanfaatkan Celah SMA1000
Perkembangan terbaru menunjukkan bahwa ancaman terhadap SMA1000 semakin serius.
CISA telah memperbarui Known Exploited Vulnerabilities (KEV) Catalog dan menandai CVE-2026-15409 serta CVE-2026-15410 sebagai kerentanan yang dieksploitasi oleh kelompok ransomware.
CISA sebelumnya memasukkan kedua celah tersebut ke dalam katalog KEV pada 14 Juli dan mewajibkan lembaga Federal Civilian Executive Branch (FCEB) di Amerika Serikat melakukan mitigasi dalam waktu tiga hari.
CISA menilai kerentanan semacam ini sebagai salah satu jalur serangan yang sering digunakan pelaku kejahatan siber dan dapat menimbulkan risiko signifikan terhadap infrastruktur organisasi.
Meski CISA tidak memberikan rincian teknis mengenai seluruh serangan ransomware yang diamati, perusahaan keamanan Resecurity mengaitkan aktivitas tersebut dengan afiliasi INC Ransomware.
Lebih dari 380 Perangkat SMA1000 Masih Terlihat Online
Pemantauan oleh Shadowserver menunjukkan bahwa masih terdapat lebih dari 380 perangkat SMA1000 yang terekspos ke internet.
Jumlah tersebut tidak secara otomatis berarti seluruh perangkat masih rentan. Sebagian mungkin sudah diperbarui atau telah diamankan oleh administrator.
Namun, keberadaan ratusan perangkat yang dapat diakses dari internet menunjukkan bahwa permukaan serangan terhadap produk tersebut masih cukup besar.
Bagi organisasi yang menggunakan SMA1000 sebagai gateway akses jarak jauh, perangkat ini memiliki posisi strategis karena menjadi penghubung antara pengguna eksternal dengan jaringan internal perusahaan.
Jika penyerang berhasil mengambil alih perangkat tersebut, akses yang diperoleh dapat menjadi titik awal untuk melakukan aktivitas lanjutan di dalam jaringan.
SonicWall Sebelumnya Juga Menghadapi Serangan terhadap SMA1000
Ini bukan pertama kalinya perangkat SonicWall SMA menjadi sasaran eksploitasi tingkat tinggi.
Pada Desember sebelumnya, SonicWall telah memperingatkan pelanggan mengenai kerentanan CVE-2025-40602 pada Appliance Management Console (AMC) SMA1000. Kerentanan tersebut juga digunakan dalam serangan zero-day dan dapat dimanfaatkan untuk memperoleh hak akses root.
Sebelumnya, SonicWall juga mengaitkan sebuah insiden keamanan pada September dengan aktor yang diduga disponsori negara. Insiden tersebut menyebabkan file backup konfigurasi firewall pelanggan terekspos.
Selain itu, perangkat SonicWall SMA100 Series juga pernah menjadi target penyebaran OVERSTEP rootkit, yang dikaitkan dengan aktivitas ransomware.
SonicWall kemudian merilis pembaruan firmware untuk membantu menghapus malware tersebut dari perangkat yang telah terinfeksi.
Administrator Diminta Segera Memeriksa SMA1000
Dengan kedua kerentanan kini dikonfirmasi digunakan oleh kelompok ransomware, organisasi yang masih menggunakan versi SMA1000 terdampak perlu memprioritaskan proses patching.
Pembaruan tidak hanya penting untuk mencegah eksploitasi baru, tetapi juga untuk mengurangi risiko perangkat telah disusupi sebelum patch diterapkan.
Administrator juga sebaiknya memeriksa log autentikasi, aktivitas administratif, koneksi jaringan yang tidak biasa, serta perubahan konfigurasi pada perangkat SMA1000.
Jika terdapat indikasi kompromi, pemasangan patch saja tidak cukup. Organisasi perlu melakukan investigasi terhadap perangkat dan jaringan yang terhubung, mengganti kredensial atau secret yang mungkin telah terekspos, serta memastikan tidak terdapat malware atau mekanisme persistence yang ditinggalkan penyerang.
Dengan ransomware kini memanfaatkan kerentanan tersebut sebagai bagian dari rantai serangan, CVE-2026-15409 dan CVE-2026-15410 sebaiknya diperlakukan sebagai prioritas keamanan tinggi bagi seluruh organisasi yang mengoperasikan SonicWall SMA1000.
Sumber: CISA
