觀點 · 資訊分享

SonicWall SMA1000 兩個零時差漏洞被串連攻擊：修補之後還要查有沒有被入侵、重設密碼與 TOTP

SonicWall 在 7 月 14 日修補 SMA1000 的兩個已遭利用漏洞，兩者被串在一起用來攻擊 VPN 設備。CISA 同日列入 KEV；SonicWall 提醒光更新不夠，還要檢查入侵痕跡。

一句話看懂：SonicWall 修補了 SMA1000 系列的兩個零時差漏洞，攻擊者把它們串在一起攻擊 VPN 設備；官方強調光更新不夠，還要檢查有沒有已經被入侵。

SonicWall SMA1000 零時差漏洞資訊圖卡：兩個漏洞被串連攻擊，光更新不夠，還要查有沒有被入侵

先用白話講：為什麼 VPN 設備被打穿特別麻煩？

公司的 VPN 設備，就像辦公大樓的警衛室兼大門：員工在外面要先通過這裡，才能進到公司內網。如果這道門本身被攻破，攻擊者不只進得了門，還能假冒員工，在大樓裡自由走動，而且保全系統通常不會對「從警衛室走出來的人」起疑。

這次出事的是 SonicWall 的 SMA 1000 系列，是給中大型企業、跨國公司、政府機關與資安服務商用的安全遠端存取（SSL VPN）閘道。

SonicWall 在 7 月 14 日公開並修補兩個已遭利用的漏洞：

漏洞	類型	說明
CVE-2026-15409	伺服器端請求偽造（SSRF）	出在 Work Place 介面，未登入的遠端攻擊者可能讓設備對不該連的地方發出請求，NVD 上廠商評分 CVSS 3.1 為 10.0
CVE-2026-15410	程式碼注入	出在管理主控台（AMC），已用管理員身分登入的遠端攻擊者，在特定條件下可能執行任意作業系統指令，評分 7.2

據媒體引述 SonicWall 的說法，目前觀察到的攻擊中，這兩個漏洞是被串連使用的。SonicWall 也確認這些漏洞「正在被實際利用」。

美國 CISA 在同一天（7 月 14 日）把四個漏洞列入 KEV（已知遭利用漏洞）清單：

SonicWall 這兩個漏洞在 KEV 上的聯邦機關修補期限是 7 月 17 日。（Microsoft 這兩項的期限不同，ADFS 是 7 月 28 日、SharePoint 是 7 月 17 日。）

依媒體整理，受影響的機型是 SMA6210、SMA7210 與 SMA8200v。受影響的韌體（平台熱修補）版本包含 12.4.3-03245、12.4.3-03387、12.4.3-03434、12.5.0-02283、12.5.0-02624 與 12.5.0-02800。

SonicWall 先通知客戶聯絡技術支援取得熱修補，版本是 12.4.3-03453 與 12.5.0-02835，之後才在官網提供。

SonicWall 的發言人強調，「光是套用修補並不足夠」。即使更新了，也建議：

以下是文章日期之後的發展：

7 月 15 日：SonicWall 更新公告，並加入 Volexity 的研究者協助擴充入侵指標清單
7 月 16 日：Rapid7 表示，在官方揭露之前，就已觀察到對外網路的 SMA 1000 設備遭零時差攻擊；攻擊者會取走高價值憑證、工作階段資料庫與 TOTP 設定的種子，再進一步橫向移動到網域控制站
CISA 的 KEV 目錄目前把這兩個 SonicWall 漏洞標示為「已知被勒索軟體活動使用」（以本文整理時的目錄狀態為準）

這類「邊界設備」的漏洞，一直是最難處理的。它們放在網路最前線，不能隨便關，又常常沒有像電腦那樣的偵測軟體，所以出事時往往很晚才發現。

如果你幫客戶管理這類設備，我的建議是：把設備型號與韌體版本記錄在一張清單裡；訂閱廠商的安全公告；另外，要事先想好「更新之後要做什麼檢查」，而不是只有「更新」這一步。這次的案例就是提醒：更新只是止血，不等於傷口已經沒事。

為什麼說「光更新不夠」？

因為攻擊在修補公布前就已發生。SonicWall 說，即使套用更新，仍要檢查日誌與入侵指標；若發現跡象，要重刷（硬體）或重新部署（虛擬機）設備、更換使用者與管理員密碼，並重設 TOTP 權杖。

我用的是 SonicWall 防火牆，不是 SMA 1000，要擔心嗎？

這兩個漏洞影響的是 SMA 1000 系列的遠端存取設備，依媒體整理的名單是 SMA6210、SMA7210 與 SMA8200v。其他產品線不在這次公告範圍內，但仍應追蹤廠商的後續公告。

KEV 是什麼？跟我有關嗎？

KEV 是美國 CISA 維護的「已知遭利用漏洞」清單，只收有被攻擊證據的漏洞。法規上要求美國聯邦民用機關在期限內修補，但一般企業也很適合拿它來排修補順序。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。