1. Twee zero-day kwetsbaarheden, CVE-2026-15409 en CVE-2026-15410, worden momenteel uitgebuit door aanvallers.
2. Deze kwetsbaarheden konden leiden tot volledige systeemcompromittering van getroffen appliances en bieden een plausibel pad naar remote code execution vanaf het internet.
3. De kwetsbaarheden werden als zero-days uitgebuit, wat betekent dat ze actief werden misbruikt voordat er oplossingen beschikbaar waren.
4. Rapid7-onderzoekers hebben geconstateerd dat de uitbuiting van deze kwetsbaarheden begon op 22 juni 2026.
5. De tactieken, technieken en procedures die door Rapid7 zijn waargenomen, duiden erop dat dezelfde dreigingsgroep of aanvaller die de zero-days ontdekte, ze ook uitbuit.
6. Hoewel de aanvallers waarschijnlijk ransomware als doel hebben, hebben exfiltratie en encryptie van gegevens tot nu toe voorkomen in de gevallen die door Rapid7 zijn onderzocht.
7. SonicWall heeft de kwetsbaarheden op dinsdag 14 juli 2026 publiekelijk bekendgemaakt en adviseert klanten om direct te patchen door te upgraden naar de nieuwste softwareversie.
8. Op dezelfde dag, dinsdag 14 juli 2026, heeft de Cybersecurity and Infrastructure Security Agency (CISA) beide zero-days toegevoegd aan de catalogus van bekende uitgebuiten kwetsbaarheden.
9. SonicWall heeft indicatoren van compromittering gedeeld om klanten te helpen bij het opsporen van mogelijke kwaadaardige activiteiten en heeft een script ontwikkeld om getroffen klanten te ondersteunen.
10. Patching alleen is niet voldoende; ondersteunend personeel helpt klanten ook met het identificeren en oplossen van verdachte activiteiten.
11. Minder dan 5.000 SMA1000 appliances, die de specifieke kwetsbaarheden betreffen, maken deel uit van de wereldwijde sensorvoetafdruk van SonicWall.
12. Sinds eind 2021 zijn zeventien defecten die producten van SonicWall betreffen, toegevoegd aan de catalogus van CISA met bekende uitgebuiten kwetsbaarheden.
13. Tien van deze defecten zijn bekend te zijn gebruikt in ransomwarecampagnes, waaronder een reeks van ongeveer 40 Akira ransomware-aanvallen tussen medio juli en begin augustus 2025.
14. In 2025 drong een niet nader genoemde, door de staat gesponsorde dreigingsgroep de cloudomgeving van SonicWall binnen en stal firewallconfiguraties van alle klanten.