SonicWall Cihazlarında Keşfedilen Sıfırıncı Gün Açıkları Haftalarca Sömürüldü
Güvenlik firması Volexity, SonicWall SMA1000 serisi güvenli uzaktan erişim cihazlarını etkileyen iki kritik sıfırıncı gün açığının, yamalar yayınlanmadan önce haftalarca saldırganlar tarafından kullanıldığını duyurdu. CVE-2026-15409 ve CVE-2026-15410 kodlu bu zafiyetler, kimlik doğrulaması gerektirmeyen uzak saldırganların sistemlere sızmasına olanak tanıyor.
Saldırıların arkasında, henüz bilinen bir tehdit aktörüyle ilişkilendirilemeyen UTA0533 adlı bir grubun olduğu belirtiliyor. Volexity, saldırıların motivasyonu ve yöntemleri göz önüne alındığında, bu faaliyetlerin kâr odaklı siber suçlardan ziyade devlet destekli gelişmiş kalıcı tehdit (APT) operasyonlarıyla benzerlik gösterdiğini ifade ediyor. Saldırganların sistemlere en az 22 Haziran tarihinden itibaren erişim sağladığı tahmin ediliyor.
Sisteme sızan saldırganlar, KnuckleBall adını verdikleri özel bir zararlı yazılımı devreye alarak meşru süreçlerin içine iki farklı araç enjekte etti. Bunlardan biri Java tabanlı bir web kabuğu olan OrangeTail, diğeri ise açık kaynaklı bir proxy aracı olan Suo5 olarak tanımlandı. Kök dizin erişimi elde eden saldırganların, cihazlarda depolanan kimlik bilgilerini çalma, ağ trafiğini izleme ve sistem üzerinden geçen verileri ele geçirme yeteneğine sahip olduğu bildirildi.
SonicWall, 14 Temmuz tarihinde yayınladığı güvenlik bülteniyle söz konusu zafiyetleri kabul ederek etkilenen cihazlar için acil durum yamalarını kullanıma sundu. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu iki açığı aktif olarak sömürülen zafiyetler kataloğuna (KEV) ekledi. Kullanıcıların, cihazlarını korumak için yayınlanan güncellemeleri vakit kaybetmeden uygulamaları öneriliyor.
