SonicWall Peringatkan Celah SSRF Kritis CVE-2026-102255 pada SMA1000

SonicWall merilis hotfix untuk mengatasi vulnerability server-side request forgery (SSRF) dengan tingkat keparahan maksimum pada appliance SMA1000 Series yang dapat dieksploitasi remote attacker tanpa authentication.

Celah keamanan yang dilacak sebagai CVE-2026-102255 ditemukan pada interface Appliance WorkPlace dan memengaruhi model SMA1000 6210, 7210, serta 8200v.

Menurut SonicWall, attacker dapat mengeksploitasi kelemahan tersebut untuk membuat appliance mengirim request atas nama mereka, menjangkau internal functionality, dan melakukan unauthorized operation.

Belum ada bukti CVE-2026-102255 telah dieksploitasi secara aktif. Namun, SonicWall meminta pelanggan segera memasang hotfix karena SMA1000 merupakan secure remote access gateway yang sering menjadi target threat actor.

CVE-2026-102255 Mendapat Tingkat Keparahan Maksimum

CVE-2026-102255 merupakan vulnerability SSRF yang berasal dari unintended alternate access-path weakness pada Appliance WorkPlace interface.

Kelemahan tersebut dapat dieksploitasi oleh remote attacker yang tidak memiliki privilege.

Attack complexity juga dinilai rendah sehingga attacker tidak membutuhkan kondisi serangan yang rumit untuk mencoba mengeksploitasi vulnerability pada system yang dapat dijangkau.

Dengan menyalahgunakan alternate access path tersebut, attacker berpotensi menginstruksikan appliance untuk membuat network request atas nama mereka.

Masalah seperti ini berbahaya karena request berasal dari appliance yang mungkin memiliki akses terhadap resource internal yang tidak dapat dijangkau langsung dari internet.

SSRF Bisa Membuka Akses ke Internal Functionality

Server-side request forgery memungkinkan attacker menyalahgunakan server atau appliance sebagai perantara untuk mengirim request ke lokasi lain.

Dalam kondisi normal, internal service mungkin hanya menerima koneksi dari trusted network dan tidak dapat diakses langsung dari internet.

SSRF dapat mengubah situasi tersebut karena request dibuat oleh vulnerable appliance yang sudah berada di dalam trusted environment.

Menurut SonicWall, CVE-2026-102255 berpotensi memungkinkan remote unauthenticated attacker membuat SMA1000 mengirim request atas nama mereka untuk menjangkau internal functionality dan melakukan unauthorized operations.

Dampak sebenarnya bergantung pada configuration dan service yang dapat dijangkau dari appliance.

SMA1000 6210, 7210, dan 8200v Terdampak

SonicWall menyebut vulnerability tersebut ditemukan pada Appliance WorkPlace interface dari beberapa model SMA1000.

Perangkat yang terdampak meliputi:

• SMA1000 6210
• SMA1000 7210
• SMA1000 8200v

SMA1000 tersedia dalam physical maupun virtual appliance dan digunakan sebagai secure remote access gateway pada enterprise environment.

Produk tersebut memungkinkan organisasi menyediakan VPN dan akses jarak jauh terhadap internal application maupun corporate network.

Karena posisinya berada di perimeter dan menangani remote access, vulnerability pada perangkat seperti ini memiliki security impact yang tinggi.

SMA 100 Series dan SSL-VPN SonicWall Firewall Tidak Terdampak

SonicWall menegaskan bahwa CVE-2026-102255 tidak memengaruhi SMA 100 Series.

Vulnerability tersebut juga tidak berdampak pada SSL-VPN yang berjalan pada SonicWall firewall.

Perbedaan ini penting karena SMA1000 merupakan product line yang berbeda dari SMA 100 Series maupun SSL-VPN functionality pada firewall SonicWall.

Administrator karena itu perlu memeriksa model appliance yang digunakan sebelum menentukan apakah environment mereka berada dalam scope vulnerability.

Untuk organisasi yang menjalankan SMA1000 6210, 7210, atau 8200v, update ke fixed release yang direkomendasikan SonicWall menjadi prioritas.

SonicWall Rilis Hotfix dan Minta Pelanggan Segera Upgrade

SonicWall telah merilis hotfix untuk menutup vulnerability tersebut.

Perusahaan secara khusus meminta pengguna SMA1000 Series melakukan upgrade ke fixed release version yang disebutkan dalam security advisory.

Walaupun belum menemukan evidence of exploitation, vendor tidak menyarankan administrator menunggu sampai serangan mulai terdeteksi.

Internet-facing remote access gateway merupakan target bernilai tinggi karena compromise terhadap perangkat tersebut dapat membuka jalur menuju internal network.

Patching sebelum exploit activity muncul dapat mengurangi window of exposure secara signifikan.

Belum Ada Bukti Eksploitasi CVE-2026-102255

Pada saat advisory diterbitkan, SonicWall mengatakan belum menemukan bukti bahwa vulnerability yang diperbaiki dalam release tersebut telah dieksploitasi di dunia nyata.

Dengan demikian, CVE-2026-102255 saat ini tidak dikategorikan sebagai actively exploited zero-day berdasarkan informasi yang tersedia dari vendor.

Namun, absence of evidence tidak berarti vulnerability aman untuk dibiarkan tanpa patch.

Setelah security advisory dipublikasikan, technical information mengenai vulnerability menjadi lebih luas diketahui dan threat actor dapat mulai melakukan reverse engineering terhadap patch untuk memahami akar masalah.

Karena itu, periode setelah patch dirilis sering menjadi waktu penting bagi administrator untuk memperbarui internet-facing system secepat mungkin.

Lebih dari 400 SMA1000 Terdeteksi Terhubung ke Internet

Shadowserver melacak lebih dari 400 SMA1000 appliance yang terekspos ke internet.

Jumlah tersebut tidak secara otomatis berarti seluruh perangkat masih vulnerable.

Sebagian appliance mungkin sudah menjalankan fixed version atau telah memasang hotfix yang tersedia.

Namun, data tersebut menunjukkan masih terdapat ratusan SMA1000 yang dapat ditemukan dari internet.

Internet exposure meningkatkan attack surface karena threat actor dapat melakukan scanning secara otomatis untuk mencari appliance yang belum diperbarui.

Setelah exploit tersedia, proses pencarian vulnerable target bahkan dapat dilakukan dalam skala besar menggunakan automated infrastructure.

SMA1000 Menjadi Target Bernilai Tinggi bagi Attacker

SMA1000 banyak digunakan oleh enterprise, government agency, Managed Security Service Provider (MSSP), dan organisasi besar untuk menyediakan secure remote access.

Fungsi tersebut membuat appliance berada pada posisi strategis.

Perangkat harus dapat menerima koneksi dari luar organisasi, tetapi pada saat yang sama memiliki hubungan langsung dengan internal application dan network.

Jika attacker berhasil mengambil alih remote access gateway, perangkat tersebut dapat menjadi entry point menuju environment yang seharusnya terlindungi dari internet.

Inilah sebabnya vulnerability pada VPN appliance, firewall, secure gateway, dan edge device sering menjadi prioritas threat actor.

SonicWall SMA1000 Sudah Beberapa Kali Diserang Sepanjang 2026

Urgensi patching CVE-2026-102255 semakin tinggi jika melihat sejarah serangan terhadap SMA1000 sepanjang tahun ini.

Threat actor telah mengeksploitasi beberapa vulnerability SMA1000 sebagai zero-day sebelum patch tersedia atau sebelum pelanggan memiliki kesempatan luas untuk melakukan remediation.

Pada Juli 2026, dua vulnerability SMA1000 yang dilacak sebagai CVE-2026-15409 dan CVE-2026-15410 dilaporkan telah dieksploitasi selama beberapa minggu.

Serangan tersebut digunakan untuk memasang custom malware pada vulnerable VPN appliance.

Malware yang ditemukan dalam campaign itu mencakup Sou5, OrangeTail, dan RootRun.

CISA Kaitkan Eksploitasi Sebelumnya dengan Ransomware

U.S. Cybersecurity and Infrastructure Security Agency (CISA) kemudian menghubungkan exploitation terhadap vulnerability SMA1000 tersebut dengan aktivitas ransomware.

Hal ini menunjukkan bahwa compromise terhadap edge appliance tidak selalu menjadi tujuan akhir.

Setelah mendapatkan initial access, attacker dapat menggunakan perangkat sebagai pijakan untuk bergerak lebih jauh ke internal environment.

Dalam ransomware operation, initial access ke corporate network memiliki nilai tinggi karena memungkinkan attacker melakukan reconnaissance, credential theft, lateral movement, data exfiltration, dan akhirnya ransomware deployment.

Remote access gateway menjadi target ideal karena memang dirancang untuk menghubungkan external user dengan internal resource.

Dua Zero-Day Lain Dieksploitasi pada September

Ancaman terhadap SMA1000 kembali muncul pada September 2026.

SonicWall memperingatkan pelanggan mengenai dua vulnerability baru yang dilacak sebagai CVE-2026-83548 dan CVE-2026-83549.

Berbeda dari CVE-2026-102255 yang belum diketahui dieksploitasi, kedua vulnerability tersebut ditemukan dalam active attack.

Threat actor diketahui melakukan exploit chaining terhadap kedua zero-day untuk memperoleh remote code execution pada vulnerable SMA1000 gateway.

Exploit chaining memungkinkan beberapa kelemahan yang masing-masing memiliki keterbatasan digabungkan untuk menghasilkan dampak yang lebih besar.

Kemampuan menjalankan arbitrary code pada edge appliance dapat memberikan attacker kontrol yang sangat luas terhadap perangkat.

19 Celah SonicWall Masuk Katalog CISA KEV dalam Empat Tahun

Dalam empat tahun terakhir, CISA telah memasukkan 19 vulnerability SonicWall ke dalam Known Exploited Vulnerabilities (KEV) Catalog.

Masuknya sebuah vulnerability ke KEV berarti terdapat evidence bahwa vulnerability tersebut telah dieksploitasi di dunia nyata.

Dari 19 vulnerability tersebut, 13 juga diketahui digunakan dalam ransomware attack.

Angka tersebut menunjukkan bahwa SonicWall device merupakan salah satu target yang secara konsisten menarik perhatian cybercriminal dan advanced threat actor.

Namun, CVE-2026-102255 sendiri belum dilaporkan sebagai bagian dari active exploitation dan belum boleh disamakan dengan vulnerability yang sudah masuk KEV hanya berdasarkan tingkat keparahannya.

Edge Device Menjadi Sasaran Favorit Threat Actor

Perangkat seperti VPN gateway dan secure remote access appliance semakin sering menjadi sasaran serangan karena berada pada boundary antara internet dan internal network.

Berbeda dengan endpoint biasa, edge appliance sering memiliki beberapa karakteristik yang menarik bagi attacker.

Perangkat biasanya selalu aktif, dapat dijangkau dari internet, memiliki akses ke internal resource, dan dalam beberapa environment tidak mendapatkan visibility security yang sama seperti Windows workstation atau server.

Endpoint Detection and Response (EDR) yang digunakan pada laptop dan server juga belum tentu tersedia pada specialized appliance.

Hal tersebut dapat memberikan attacker kesempatan mempertahankan persistence lebih lama apabila compromise tidak segera terdeteksi.

Administrator Perlu Memprioritaskan Hotfix

Untuk organisasi yang menjalankan SMA1000 6210, 7210, atau 8200v, langkah terpenting adalah memeriksa software version dan memastikan hotfix atau fixed release yang direkomendasikan SonicWall telah diterapkan.

Administrator juga perlu meninjau log untuk mencari aktivitas tidak biasa, terutama apabila appliance telah lama terekspos ke internet sebelum patch dipasang.

Pemeriksaan sebaiknya mencakup unusual request, unexpected configuration change, suspicious administrative activity, dan indikator lain yang dapat menunjukkan compromise.

Jika memungkinkan, management interface juga sebaiknya tidak diekspos secara luas ke internet.

Access restriction, network segmentation, multifactor authentication, dan monitoring terhadap privileged activity dapat membantu mengurangi risiko apabila vulnerability baru ditemukan pada masa mendatang.

Belum Dieksploitasi Bukan Alasan Menunda Patch

CVE-2026-102255 menjadi vulnerability penting karena kombinasi beberapa faktor: tingkat keparahan maksimum, remote exploitation tanpa authentication, attack complexity rendah, serta keberadaannya pada enterprise remote access gateway.

SonicWall belum menemukan bukti exploitation in the wild terhadap vulnerability tersebut.

Namun, sejarah SMA1000 sepanjang 2026 menunjukkan bahwa platform ini aktif menjadi sasaran threat actor.

Dua zero-day dieksploitasi pada Juli dan dua vulnerability lainnya dirangkai dalam active attack pada September.

Dengan lebih dari 400 SMA1000 masih terdeteksi terekspos ke internet, administrator memiliki alasan kuat untuk memperpendek waktu antara patch release dan deployment.

SonicWall telah menyediakan hotfix dan secara tegas meminta pengguna SMA1000 melakukan upgrade ke fixed release version untuk menutup CVE-2026-102255 sebelum vulnerability tersebut berpotensi digunakan dalam serangan nyata.

Sumber: SonicWall