SonicWall SMA1000: CVE-2026-83548 กับ CVE-2026-83549 ถูกใช้โจมตีจริงแล้ว

ถ้าองค์กรคุณมี SonicWall SMA1000 เป็นประตู remote access วันนี้ไม่ใช่ข่าวที่อ่านแล้วพักไว้

ประกาศ SNWLID-2026-0016 ของ SonicWall ระบุช่องโหว่สองตัวที่ ยืนยันว่าถูกใช้โจมตีจริงแล้ว

CVE-2026-83548: server-side request forgery (SSRF) ก่อนยืนยันตัวตนใน Appliance WorkPlace คะแนน CVSS 10.0
CVE-2026-83549: OS command injection หลังยืนยันตัวตนใน Appliance Management Console คะแนน CVSS 7.8

SSRF คือช่องที่เซิร์ฟเวอร์ถูกหลอกให้เรียกทรัพยากรภายในแทนผู้โจมตี เมื่อนำไปต่อกับ command injection ที่ต้องการสิทธิ์แอดมิน ผลรวมอาจกลายเป็น remote code execution โดยไม่ต้องมี credential ตามที่ Rapid7 สรุป

ผมจะไม่ลงรายละเอียดวิธีโจมตี ที่สำคัญคือปิดช่องและตรวจหลักฐาน

รุ่นที่กระทบและรุ่นแก้

ประกาศระบุผลิตภัณฑ์ SMA 1000 (6210, 7210, 8200v ทุกรุ่น hypervisor) บนสาย

กระทบ: 12.4.3-03453 (ทุกรุ่นในสาย) และ 12.5.0-02835 (ทุกรุ่นในสาย)
แก้แล้ว: 12.4.3-03526 หรือ 12.5.0-02952

อัปผ่าน MySonicWall ตามคำแนะนำของผู้ผลิต

ลำดับที่ผมแนะนำให้ทีมทำ

นับ inventory ว่ามี SMA1000 กี่เครื่อง และรันสายรุ่นไหน
จำกัดการเข้าถึง WorkPlace จากอินเทอร์เน็ตชั่วคราวถ้ายังแพตช์ไม่ทัน
อัปเป็น hotfix ที่ระบุ
ให้ SonicWall Support ช่วยไล่ indicators of compromise
ถ้าพบ IoC ให้ re-image (ฮาร์ดแวร์) หรือ re-deploy (เวอร์ชวล) แล้วเปลี่ยนรหัสผ่านผู้ใช้กับแอดมิน และรีเซ็ต TOTP

อย่ารีสตาร์ทอย่างเดียวแล้วจบ เพราะอาจทำหลักฐานบางส่วนหายก่อนเก็บครบ

Recap

อ่าน SNWLID-2026-0016 แล้วจับคู่รุ่นเครื่องจริงกับตารางแพตช์
อัปเป็น 12.4.3-03526 หรือ 12.5.0-02952
ถ้าสงสัยถูกบุก รีอิมเมจ/รีดีพลอย เปลี่ยนรหัส รีเซ็ต TOTP
ไม่ทดลอง exploit บนเครื่องจริง

รุ่นที่กระทบและรุ่นแก้

ลำดับที่ผมแนะนำให้ทีมทำ

Recap

เลือกการใช้คุกกี้วิเคราะห์