הציון 10.0 בסולם החומרה הוא המקסימום, והוא לא נפוץ. SonicWall נתנה אותו החודש לחולשה שיושבת דווקא בעמוד שכל אדם רואה לפני שהוא מזדהה, ב-WorkPlace, ממשק ההתחברות של שערי ה-VPN מדגם SMA1000. תוקף לא צריך חשבון ולא צריך סיסמה.

מה שהחולשה מאפשרת הוא לבקש מההתקן עצמו ללכת ולהביא משהו: התוקף שולח בקשה אל השער, והשער, שיושב בתוך הרשת הפנימית ושסומכים עליו, פונה בשמו לכתובות ולשירותים שתוקף מבחוץ לא יכול להגיע אליהם ישירות. לסוג החולשה הזה קוראים SSRF. SonicWall כותבת שהתוצאה היא גישה לפונקציונליות פנימית ולפעולות לא מורשות, ולא מפרטת לאילו פעולות בדיוק.

מה קרה

ההודעה של SonicWall, שמסומנת SNWLID-2026-0017 ופורסמה ב-6 באוקטובר, מכסה ארבע חולשות באותו קו מוצרים. החמורה היא CVE-2026-102255, אותה SSRF בציון 10.0 שלא דורשת הזדהות, והחברה מתארת אותה כמסלול גישה חלופי שלא היה אמור להיות שם. שלוש האחרות דורשות חשבון: הזרקת פקודות למערכת ההפעלה שעלולה להוביל להרצת קוד בציון 7.8, חולשת Zip Slip בציון 7.2 ו-XSS מאוחסן בציון 5.5. אותו תיקון סוגר את כולן.

הדגמים שנוגעים בזה הם SMA1000 6210, 7210 ו-8200v. הגרסאות 12.4.3-03526 ומטה ו-12.5.0-02952 ומטה חשופות, והתיקון נמצא ב-12.4.3-03670 ומעלה וב-12.5.0-03082 ומעלה. ה-SSL-VPN שבחומות האש של SonicWall וסדרת SMA 100 אינם מושפעים. החברה אומרת שאין לה עדות לניצול של ארבע החולשות האלה בפועל, ואין מעקף. רק עדכון.

וזאת, אגב, הפעם השלישית ב-2026 שאותו ממשק WorkPlace מקבל תיקון ל-SSRF בציון 10.0 שלא דורשת הזדהות. בשתי הפעמים הקודמות, ביולי ובתחילת ספטמבר, החולשות כבר נוצלו במתקפות בפועל, ו-CISA האמריקאית הוסיפה את זוג ספטמבר לרשימת החולשות המנוצלות שלה. את החולשה החדשה גילה בנואה סבנס מ-Anthropic.

למה זה חשוב לכם

שער VPN הוא ההתקן שדרכו עובדים מתחברים מהבית אל הרשת של המקום שבו הם עובדים, ולכן הוא יושב במקום הנוח ביותר לתוקף: פתוח לאינטרנט מצד אחד, מחובר לכל מה שפנימי מצד שני. כשהוא נשבר, התוקף לא מקבל מחשב אחד אלא דלת. בדיוק ככה נכנסו בשנה האחרונה גלים של מתקפות כופרה לארגונים, וגם הקמפיין נגד חומות האש של Fortinet שעליו כתבנו אתמול התחיל באותו סוג של התקן. למי שאינו מנהל IT נוגע בעיקר מה שיוצא מזה בסוף: רשימות לקוחות, תיקים רפואיים ותלושי שכר של אנשים שלא ידעו שיש להם קשר ל-SMA1000.

מה עושים?

אם יש SMA1000 בארגון שלכם, התיקון יורד מפורטל MySonicWall וההתקן מאתחל את עצמו בסוף ההתקנה. אין מעקף, ולכן אין גם מה לתכנן סביבו.

בדקו איזו גרסה רצה אצלכם לפני שאתם נרגעים. ההבדל בין 12.5.0-02952 ל-12.5.0-03082 הוא כל ההבדל, והמספרים האלה דומים מדי מכדי לזכור אותם מהראש.

אם ההתקן שלכם היה חשוף גם בגלי יולי או ספטמבר, עדכון הוא לא סוף הסיפור. בפעמים ההן SonicWall הנחתה לחפש סימני חדירה, ואם נמצאו, להתקין את ההתקן מחדש, לאפס סיסמאות של משתמשים ומנהלים ולאפס גם את ה-token-ים של האימות הדו-שלבי.

ולמי שלא מנהל כלום מזה: זאת תזכורת למה כדאי שהסיסמה שאתם משתמשים בה בעבודה לא תהיה הסיסמה של המייל הפרטי. כשארגון נפרץ דרך השער, הדבר הבא שהתוקף מנסה הוא אותה סיסמה במקומות אחרים.

רכיב שמקבל את אותו תיקון שלוש פעמים בשנה אחת לא סובל מתקלה. הוא מספר משהו על איך הוא נבנה.