Kerngegevens
- Leverancier
- SonicWall
- Product
- SMA1000
- Soort software
- firewall
- Getroffen versies
- SonicWall SMA1000 (6210, 7210, 8200v en CMS) 12.4.3-03245 t/m 12.4.3-03434, 12.5.0-02283 t/m 12.5.0-02800
- Oplossing
- Update beschikbaar
- Opgeloste versie
- SonicWall SMA1000 12.4.3-03453
- SonicWall SMA1000 12.5.0-02835
- CVE gepubliceerd
- 14 juli 2026
- Op de KEV-lijst sinds
- 14 juli 2026
- Gepubliceerd op LekkenRadar
- 25 oktober 2026
- Laatst gewijzigd bij NVD
- 24 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de Work Place-interface van de SonicWall SMA1000 zit een server-side request forgery (SSRF). Een aanvaller kan het apparaat zo laten verzoeken doen naar plekken waar het die niet hoort te doen. Dat kan zonder inloggen en via het netwerk. Het lek heeft ernst kritiek (10,0) en staat sinds juli 2026 op de lijst van actief misbruikte lekken (KEV). Volgens de KEV-gegevens is het ook gebruikt bij ransomware-aanvallen.
Wie loopt risico?
Je loopt risico als je een SonicWall SMA1000 gebruikt met een getroffen versie: vanaf 12.4.3-03245 t/m 12.4.3-03434 of vanaf 12.5.0-02283 t/m 12.5.0-02800. Vooral apparaten waarvan de Work Place-interface bereikbaar is vanaf het internet of een onbetrouwbaar netwerk zijn kwetsbaar. Een aanvaller hoeft niet in te loggen en heeft geen hulp van een gebruiker nodig.
Wat moet je doen?
Controleer of je een getroffen SMA1000 gebruikt
Kijk na of je SMA1000-apparaten hebt (6210, 7210, 8200v of CMS) en welke firmwareversie erop draait. Getroffen zijn 12.4.3-03245 t/m 12.4.3-03434 en 12.5.0-02283 t/m 12.5.0-02800.
Installeer de hotfix
Werk bij naar 12.4.3-03453 of 12.5.0-02835 (of nieuwer). De hotfix is te downloaden via mysonicwall.com.
Zoek naar sporen van misbruik
SonicWall bevestigt actief misbruik en adviseert een forensische controle op de indicatoren (IoC's) uit het advies. Ook bij ransomware-aanvallen is het lek gebruikt.
Vond je sporen? Zet het apparaat opnieuw op
Installeer de appliance dan opnieuw, wijzig alle gebruikers- en beheerderswachtwoorden en reset de TOTP-tokens. Gebruik alleen een configuratieback-up van vóór 12.4.3-03245 of 12.5.0-02283, of controleer de configuratie op wijzigingen.
Zelfde hotfix, tweede lek
Dezelfde hotfix verhelpt ook een misbruikt code-injectielek in de beheerconsole (CVE-2026-15410, https://lekkenradar.nl/cve/cve-2026-15410/).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een server-side request forgery (CWE-918) in de Work Place-interface van de SonicWall SMA1000. Een niet-geauthenticeerde aanvaller kan via het netwerk de appliance ertoe brengen verzoeken te doen naar onbedoelde locaties. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, met score 10,0 volgens de CNA. De waarde S:C wijst erop dat de gevolgen verder reiken dan het kwetsbare onderdeel zelf. Getroffen zijn de versies vanaf 12.4.3-03245 t/m 12.4.3-03434 en vanaf 12.5.0-02283 t/m 12.5.0-02800. In de gegevens staat geen opgeloste versie.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-918 · Server-side request forgery (SSRF)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 6,8%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 14 juli 2026
- Deadline van CISA
- 17 juli 2026
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA