SonicWall Peringatkan Serangan Aktif Eksploitasi Dua Zero-Day SMA1000 untuk RCE
SonicWall memperingatkan pelanggan mengenai dua kerentanan zero-day pada perangkat SMA1000 yang saat ini telah dieksploitasi secara aktif oleh pelaku ancaman dalam serangan remote code execution (RCE).
Kedua celah keamanan tersebut dapat dirangkai menjadi sebuah exploit chain yang memungkinkan penyerang menjalankan perintah pada perangkat SMA1000 yang rentan. SonicWall meminta seluruh pelanggan segera memasang hotfix terbaru untuk mencegah perangkat mereka menjadi sasaran serangan.
Dua Kerentanan Zero-Day SMA1000
Kerentanan pertama, CVE-2026-83548, merupakan celah command injection dengan tingkat keparahan maksimum pada antarmuka SMA1000 Appliance WorkPlace.
Celah tersebut berasal dari kelemahan server-side request forgery (SSRF) yang dapat dimanfaatkan untuk mencapai tahap command injection.
Kerentanan kedua adalah CVE-2026-83549, sebuah command injection pada SMA1000 Appliance Management Console. Celah ini dapat dieksploitasi oleh penyerang yang telah memperoleh hak akses administrator untuk menjalankan perintah OS secara arbitrer pada perangkat yang rentan.
Menurut SonicWall PSIRT, perusahaan telah menyelidiki sebuah kasus yang menunjukkan bahwa kedua kerentanan tersebut memang sedang digunakan dalam serangan di dunia nyata.
Karena status eksploitasi aktif tersebut, SonicWall sangat mendesak pelanggan untuk segera melakukan upgrade ke versi hotfix yang tersedia.
Model SMA1000 yang Terdampak
Dua kerentanan ini memengaruhi perangkat SMA1000 6210, 7210, dan 8200v.
Namun, cakupannya cukup spesifik. SonicWall menegaskan bahwa kerentanan tersebut tidak berdampak pada SSL-VPN yang berjalan pada firewall SonicWall maupun produk SMA 100 Series.
| Produk | Status |
|---|---|
| SMA1000 6210 | Terdampak |
| SMA1000 7210 | Terdampak |
| SMA1000 8200v | Terdampak |
| SonicWall Firewall SSL-VPN | Tidak terdampak |
| SMA 100 Series | Tidak terdampak |
Lebih dari 400 SMA1000 Terlihat Online
Risiko serangan menjadi semakin serius karena sebagian perangkat SMA1000 dapat diakses langsung dari internet.
Data dari Shadowserver menunjukkan terdapat lebih dari 400 perangkat SMA1000 yang saat ini terdeteksi terekspos secara online. Angka tersebut belum tentu seluruhnya rentan karena sebagian perangkat kemungkinan sudah menerima patch atau hotfix.
Perangkat remote access yang terekspos internet menjadi target menarik bagi kelompok peretasan karena kompromi terhadap perangkat tersebut dapat memberikan pijakan untuk masuk lebih jauh ke jaringan organisasi.
SMA1000 sendiri digunakan oleh berbagai organisasi besar, termasuk perusahaan, lembaga pemerintah, dan lingkungan infrastruktur kritis.
SonicWall Minta Admin Segera Memasang Hotfix
SonicWall meminta pelanggan segera memperbarui perangkat SMA1000 fisik maupun virtual ke versi hotfix terbaru.
Jika ditemukan indikator kompromi atau tanda bahwa perangkat mungkin telah disusupi, perusahaan juga merekomendasikan langkah tambahan.
Admin disarankan untuk:
- Melakukan re-image terhadap appliance.
- Mengganti seluruh password pengguna.
- Mengganti seluruh password administrator.
- Melakukan reset terhadap TOTP token.
- Memeriksa perangkat untuk menemukan indikator kompromi (IOC).
SonicWall sejauh ini belum mengungkapkan rincian teknis mengenai kampanye serangan yang sedang berlangsung maupun daftar IOC yang ditemukan selama investigasi.
Karena eksploitasi sudah terjadi di dunia nyata, admin sebaiknya tidak menunggu informasi tambahan sebelum melakukan mitigasi.
Bukan Pertama Kalinya SMA1000 Menjadi Target Zero-Day
Peringatan terbaru ini menambah panjang daftar masalah keamanan serius yang menargetkan lini SMA1000.
Pada Juli 2026, dua kerentanan lain, yaitu CVE-2026-15409 dan CVE-2026-15410, diketahui dieksploitasi sebagai zero-day selama berminggu-minggu. Serangan tersebut digunakan untuk memasang malware khusus pada perangkat VPN yang rentan.
Bulan berikutnya, CISA mengonfirmasi bahwa kelompok ransomware mulai memanfaatkan kedua kerentanan tersebut dalam serangan di dunia nyata.
SonicWall juga sebelumnya memperingatkan pelanggan pada Desember mengenai zero-day CVE-2025-40602, yang dapat dirangkai dengan teknik serangan tertentu untuk memperoleh hak akses root pada perangkat SMA1000.
Rangkaian insiden tersebut menunjukkan bahwa perangkat remote access SonicWall menjadi target bernilai tinggi bagi kelompok ancaman karena posisinya berada di perimeter jaringan organisasi.
Risiko Tidak Hanya Berasal dari Zero-Day Baru
Riwayat eksploitasi terhadap SMA1000 membuat dua zero-day terbaru ini perlu mendapatkan perhatian serius.
Dalam insiden sebelumnya, kerentanan SMA1000 telah digunakan untuk memasang malware dan kemudian dimanfaatkan oleh kelompok ransomware. Perangkat yang berfungsi sebagai gerbang remote access juga memiliki posisi strategis sehingga kompromi dapat menjadi langkah awal menuju sistem internal lainnya.
SonicWall sebelumnya juga mengaitkan sebuah insiden keamanan pada September dengan aktor yang didukung negara, setelah terjadi kompromi yang mengekspos file backup konfigurasi firewall milik pelanggan.
Perusahaan saat itu juga meminta pelanggan melakukan reset kredensial setelah ditemukan akun SSL-VPN yang dikompromikan menggunakan kredensial curian.
Admin SMA1000 Perlu Memprioritaskan Patch
Dengan adanya konfirmasi eksploitasi aktif, CVE-2026-83548 dan CVE-2026-83549 harus diperlakukan sebagai prioritas tinggi oleh organisasi yang menggunakan SMA1000 6210, 7210, atau 8200v.
Risikonya semakin besar bagi perangkat yang dapat diakses langsung dari internet. Selain melakukan upgrade ke hotfix terbaru, organisasi yang menemukan indikasi kompromi sebaiknya mengikuti rekomendasi SonicWall untuk melakukan re-image, mengganti kredensial, dan mereset TOTP.
Untuk saat ini, detail mengenai kelompok penyerang, metode eksploitasi lengkap, serta indikator kompromi masih belum dipublikasikan secara luas. Namun, fakta bahwa SonicWall telah mengonfirmasi adanya eksploitasi aktif membuat tindakan mitigasi tidak sebaiknya ditunda.
Sumber: SonicWall, CISA, Shadowserver
