SonicWall SMA1000 Açıkları Fidye Yazılımı Saldırılarında Kullanılmaya Başlandı

SonicWall SMA1000 cihazlarında bulunan iki güvenlik açığının fidye yazılımı saldırılarında aktif olarak kullanıldığı doğrulandı. CISA, CVE-2026-15409 ile CVE-2026-15410 kodlu açıkları Temmuz ayında Known Exploited Vulnerabilities kataloğuna eklerken SonicWall da söz konusu açıkların gerçek saldırılarda kullanıldığını daha önce açıklamıştı. Kurumsal uzaktan erişim altyapısını hedefleyen saldırılar, güvenlik ekiplerinin SonicWall SMA1000 sistemlerinde yalnızca yama durumunu değil olası ihlal belirtilerini de kontrol etmesini gerektiriyor.

Kritik SonicWall Açıkları Uzaktan Erişim Altyapısını Hedef Alıyor

SonicWall SMA1000, büyük şirketler, kamu kurumları ve yönetilen hizmet sağlayıcıları tarafından kurum içindeki uygulamalara güvenli uzaktan erişim sağlamak amacıyla kullanılıyor. SonicWall’ın ürün dokümantasyonuna göre platform fiziksel veya sanal olarak dağıtılabilirken geniş ölçekli kurumsal erişim senaryolarını destekliyor. Böyle bir cihazın ele geçirilmesi, saldırgan açısından yalnızca tek bir sunucunun kontrolünü değil kurumsal ağa açılan önemli bir erişim noktasını ele geçirme fırsatı oluşturuyor.

CVE-2026-15409, SMA1000’in WorkPlace arayüzünde bulunan sunucu tarafı istek sahteciliği yani SSRF açığı olarak tanımlanıyor ve CVSS 3.1 üzerinden 10,0 kritik önem derecesi taşıyor. CVE-2026-15410 ise uzaktan kod çalıştırmaya olanak sağlayan yüksek önem dereceli bir açık olarak sınıflandırılırken SonicWall iki açığın birlikte aktif saldırılarda kullanıldığını doğruladı. Etkilenen sürümler arasında SMA1000’in 12.4.3 ile 12.5.0 firmware serilerinin belirli sürümleri bulunuyor.

Volexity araştırmacılarının olay müdahale çalışmalarında tespit ettiği saldırılar, tehdit aktörlerinin açıkları SonicWall’ın kamuya duyurusundan haftalar önce kullandığını gösterdi. Araştırmacılar, saldırıların en az 22 Haziran’da başladığını değerlendirirken saldırganların ele geçirilen SMA1000 cihazlarına KNUCKLEBALL, Sou5, ROOTRUN ve ORANGETAIL gibi özel araçlar yerleştirdiğini bildirdi. Söz konusu saldırı zinciri, güvenli uzaktan erişim cihazının doğrudan hedef alınmasının ardından kalıcılık sağlamaya yönelik ek adımlar içerdi.

SonicWall, 14 Temmuz’da yayınladığı güvenlik bildiriminde açıkların gerçek internet ortamlarında aktif olarak istismar edildiğini doğruladı. CISA aynı gün CVE-2026-15409 ile CVE-2026-15410’u KEV kataloğuna ekleyerek ABD federal sivil kurumları için 17 Temmuz’a kadar düzeltme yapılmasını istedi. CISA’nın KEV kaydı, CVE-2026-15409 için istismarın aktif olduğunu ayrıca doğrularken açığın uzaktan, kimlik doğrulama gerektirmeden kullanılabilen bir SSRF zafiyeti olduğunu belirtiyor.

CISA’nın son güncellemeleri, iki SMA1000 açığının fidye yazılımı grupları tarafından da kullanıldığını ortaya koydu. Siber güvenlik şirketi Resecurity ise gözlemlenen saldırıları INC Ransomware bağlantılı bir saldırganla ilişkilendirdi. Böylece daha önce istihbarat ve erişim amacıyla kullanılan açıkların artık fidye yazılımı operasyonlarında kurumsal ağlara giriş sağlamak için de değerlendirildiği görülüyor.

SMA1000’in uzaktan erişim görevini üstlenmesi, açığın fidye yazılımı grupları açısından değerini artırıyor. Saldırganlar uzaktan erişim altyapısında kontrol elde ettikten sonra kurum içindeki kullanıcı oturumları, kimlik bilgileri ve diğer ağ kaynaklarına ulaşmak için ele geçirilen cihazı başlangıç noktası olarak kullanabiliyor. VPN ve güvenli erişim cihazlarının doğrudan internete açık olması, bu tür açıkların saldırı zincirlerinde öncelikli hedef hâline gelmesine neden oluyor.

SonicWall, etkilenen SMA1000 sürümleri için 12.4.3-03453 ve üzeri veya 12.5.0-02835 ve üzeri sürümlere geçilmesini öneriyor. Şirket aynı zamanda güncelleme sonrasında adli inceleme yapılmasını, ihlal göstergeleri bulunması hâlinde fiziksel cihazların yeniden imajlanmasını veya sanal cihazların yeniden dağıtılmasını istiyor. Yönetici ile kullanıcı parolalarının değiştirilmesi ve TOTP belirteçlerinin sıfırlanması da SonicWall’ın önerdiği müdahale adımları arasında yer alıyor.

SonicWall’ın belirttiği ihlal göstergeleri arasında extraweb_access.log içinde /__api__/login ve /__api__/logout istekleri, şüpheli host parametreleri taşıyan /wsproxy bağlantıları ve ctrl-service.log kayıtlarında yol geçişi içeren “hotfix removal” ifadeleri bulunuyor. /var/lib/unit/conf.json dosyasında belirli API rotalarının ortaya çıkması da inceleme sırasında kontrol edilmesi gereken göstergeler arasında yer alıyor. Bu kontroller, yama uygulanmış olsa bile saldırganların daha önce sistem üzerinde kalıcılık sağlayıp sağlamadığının anlaşılması açısından önem taşıyor.

Kurumsal ağlarda uzaktan erişim cihazlarının güvenliği, yalnızca VPN hizmetinin çalışıp çalışmadığının kontrol edilmesinden daha geniş bir kapsam taşıyor. SonicWall SMA1000 vakası, internete açık güvenlik cihazlarının ele geçirilmesi hâlinde saldırganların ağın dış sınırındaki bir bileşeni iç sistemlere geçiş noktası olarak kullanabileceğini gösteriyor. Türkiye’deki kurumların SonicWall SMA1000 kullanması hâlinde ilgili firmware sürümlerini kontrol etmesi, üreticinin belirttiği ihlal göstergelerini incelemesi ve şüpheli durumlarda yalnızca güncelleme yapmak yerine adli analiz gerçekleştirmesi gerekiyor.

Siber güvenlik ekipleri açısından olayın en önemli tarafı, aktif olarak istismar edilen açıkların yama yayınlandıktan sonra da risk taşımaya devam etmesi. Bir saldırgan cihaz üzerinde kalıcılık elde etmişse firmware güncellemesi tek başına saldırganın bıraktığı tüm erişim noktalarını ortadan kaldırmayabilir. SonicWall’ın yeniden imajlama, parola değişimi ve TOTP sıfırlama önerileri de bu nedenle yalnızca güvenlik açığının kapatılmasına değil olası ihlalin tamamen temizlenmesine odaklanıyor.