В начале октября администратор одной из корпоративных сетей обновил шлюз удалённого доступа SonicWall SMA 1000 и закрыл критическую дыру. Спустя два дня телеметрия уже показывала попытки атаки: злоумышленники били по уязвимости, которая позволяет подсовывать устройству чужие запросы и добираться до внутренней логики.

История инцидента

Речь идёт о CVE-2026-102255 — критической pre-auth SSRF-уязвимости с оценкой 10.0 по CVSS. Патч вышел 6 октября 2026 года, а первые признаки эксплуатации исследователи Defused Cyber и Previdian заметили 8 октября.

По данным Previdian, к моменту публикации зафиксировали 135 попыток атаки с двух уникальных IP-адресов в США. SonicWall на момент выхода публикации не обновила своё предупреждение, чтобы отдельно отразить активную эксплуатацию.

Сценарий здесь типичный для громких уязвимостей в пограничных устройствах: атакующий не ломает пароль пользователя, а использует саму систему как посредника. После закрепления на таком устройстве он может собрать учётные данные, активные сессии и конфигурации MFA, а затем уйти глубже в сеть компании. Ранее похожий сценарий мы уже разбирали на примере дыр в AhsayCBS: резервное ПО тоже быстро превратилось в удобную точку входа.

Что пошло не так в защите

Главная проблема — скорость. Как только производитель выпускает исправление, начинается гонка между теми, кто обновил систему, и теми, кто успел провести разведку раньше. В этом случае окно между патчем и первыми атаками оказалось буквально в пару дней.

Вторая ошибка — доверие к периметру. Устройства класса SMA стоят на границе сети и часто получают широкие права, потому что через них проходят удалённые подключения сотрудников и подрядчиков. Если атакующий берёт под контроль такой узел, он получает не просто ещё один сервер, а точку, из которой удобно двигаться дальше по инфраструктуре.

Третья проблема — слабая видимость. Многие компании считают, что раз устройство «снаружи», то инцидент быстро заметят. На практике злоумышленники нередко действуют тихо: извлекают ключевые данные, проверяют активные сессии, смотрят, какие сервисы доступны изнутри, и только потом переходят к следующему этапу.

Здесь полезно вспомнить и другой класс ошибок — когда уязвимость в инструменте удалённого доступа недооценивают до первого серьёзного инцидента. Об этом наглядно говорила история с AnyDesk для Linux: даже популярный софт становится опасным, если его не обновлять вовремя.

Уроки для читателя

Первый вывод простой: обновление пограничных систем нельзя откладывать «на потом». Если производитель выпустил патч для критической уязвимости, у компании должен быть короткий регламент на проверку версии, тест и развёртывание исправления.

Второй вывод — следить нужно не только за самим устройством, но и за признаками его компрометации. Сюда входят необычные исходящие соединения, неожиданные административные действия, всплески ошибок аутентификации и изменения в настройках MFA.

Третий вывод касается удалённой работы. Когда сотрудники подключаются из поездок, из гостиниц или из чужих сетей, риск растёт. В таких сценариях полезно заранее продумать, как защищать корпоративный доступ и личные данные на уровне всей цепочки, а не надеяться на один пароль. Для таких задач компании часто добавляют ещё один слой для удалённой работы и выстраивают контроль доступа вокруг него.

Практические выводы и чек-лист

  • Проверьте, стоит ли на ваших шлюзах и устройствах удалённого доступа последняя версия прошивки.
  • Сверьте дату установки патча с релизом исправления и не тяните с обновлением критических систем.
  • Ограничьте административный доступ к пограничным устройствам только доверенными адресами и ролями.
  • Настройте журналирование входов, изменений конфигурации и подозрительных исходящих запросов.
  • Проверьте, не утекли ли через устройство активные сессии, ключи и настройки многофакторной аутентификации.
  • Подготовьте план изоляции устройства на случай подозрения на компрометацию.
  • Для сотрудников и фрилансеров, которые часто работают вне офиса, рассмотрите дополнительные меры защиты канала связи через защищённый канал от freedome.space.
  • Если у вас есть сервисы удалённого доступа, держите под рукой контакт ответственного за обновления и реагирование на инциденты.
Поделиться: