חולשה במכשירי SonicWall SMA1000, שערי גישה מרחוק שארגונים מעמידים בגבול הרשת, מאפשרת לתוקף לא מזוהה לגרום למכשיר עצמו לשלוח בקשות בשמו אל תוך הרשת. הציון הוא 10 מתוך 10, המקסימום, ולפי הדירוג אין צורך בהזדהות, בהרשאות או בפעולה של מישהו בצד השני. SonicWall מתעדת את החולשה בהודעת האבטחה SNWLID-2026-0017.

מה החולשה?

מכשיר SMA1000 יושב בגבול הרשת, ותפקידו להכניס עובדים מבחוץ אל פנים הארגון. ממשק ה-Work Place הוא החלק שהמשתמש רואה, העמוד שדרכו הוא מתחבר. כלומר זה בדיוק הרכיב שאמור להיות נגיש לכל האינטרנט, וזה גם מה שהופך חולשה בו לחמורה כל כך.

הבאג עצמו הוא במה שהרשומה מכנה נתיב גישה חלופי שלא היה מתוכנן. בממשק יש דרך להגיע לפונקציונליות שלא הייתה אמורה להיות זמינה בדרך הזאת, ומי שמוצא אותה אינו נדרש להזדהות קודם.

ומה שאפשר לעשות דרכה הוא לבקש מהמכשיר שיפנה למקום מסוים. התוקף שולח בקשה, והמכשיר הוא זה שיוצא לדרך ומביא את התוצאה. לטכניקה הזאת קוראים SSRF, והדרך הפשוטה להסביר אותה היא כך: התוקף אינו פורץ פנימה בעצמו, הוא משתמש בשרת שיש לו כבר גישה פנימה בתור שליח. הסיווג שהרשומה נותנת, CWE-441, מתאר בדיוק את המצב הזה.

והסיבה שזה עובד היא שהמכשיר מורשה יותר מהתוקף. שירותים פנימיים בארגון סומכים על בקשות שמגיעות מתוך הרשת, ובקשה שיצאה מה-SMA1000 נראית להם פנימית לכל דבר. הרשומה אומרת שכך אפשר להגיע לפונקציונליות פנימית ולבצע דרכה פעולות בלי הרשאה.

ושווה לפרק את הציון 10, כי הוא לא ניתן בקלות: גישה מהרשת, מורכבות נמוכה, בלי הרשאות ובלי מעורבות של משתמש, פגיעה גבוהה בסודיות, בשלמות ובזמינות, ובנוסף שינוי של ה-scope. הסימון האחרון אומר שהפגיעה אינה נשארת במכשיר שבו נמצאה אלא עוברת אל המערכות שמאחוריו.

מי מושפע?

הרשומה מצביעה על SMA1000, ורשימת גרסאות אין בה. את מספרי הגרסאות הפגיעות ואת גרסת התיקון צריך לקחת מהודעת האבטחה של SonicWall, ולא מכאן.

מי שמושפע הוא ארגונים, לא גולשים. SMA1000 הוא ציוד שמותקן בחברות בינוניות וגדולות כדי לאפשר עבודה מרחוק, ובישראל הוא נמצא באותו מקום בדיוק: בגבול הרשת של ארגונים שהעובדים שלהם מתחברים גם מהבית. ציוד מהסוג הזה מעניין תוקפים יותר מכמעט כל דבר אחר ברשת, מסיבה פשוטה: הוא חייב להיות חשוף כדי למלא את תפקידו.

לעובד שמתחבר דרך מכשיר כזה אין מה לעשות בעצמו. הטיפול כולו אצל מי שמתחזק את הציוד.

האם מנוצלת בפועל?

נכון למועד העדכון האחרון של הרשומה, 7 באוקטובר 2026, החולשה אינה רשומה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שבה נרשמות חולשות שיש עדות לשימוש בהן בשטח. זה אומר שלא ידוע על ניצול, לא שאין כזה.

ובמקרה הזה כדאי להתייחס להיעדר הדיווח בזהירות. הרשומה פורסמה ב-7 באוקטובר 2026, לפני ימים ספורים בלבד, וחולשה בציוד גישה מרחוק שמקבלת 10 ואינה דורשת הזדהות היא בדיוק מה שסורקים אוטומטיים מחפשים. היעדר דיווח כרגע אינו סיבה לדחות את הטיפול.

מה עושים?

1. פתחו את הודעת האבטחה SNWLID-2026-0017 וקחו ממנה את רשימת הגרסאות הפגיעות ואת גרסת התיקון. ברשומה ב-NVD אין מספרי גרסאות, ולכן ההודעה הזאת היא נקודת האמת היחידה כאן.
2. בדקו איזו גרסה רצה אצלכם. במכשירי SMA1000 מספר הגרסה מופיע בממשק הניהול, במסך פרטי המערכת.
3. עדכנו לגרסה שההודעה מציינת. במכשיר שיושב בגבול הרשת העדכון מחייב בדרך כלל חלון תחזוקה, ושווה לתזמן אותו עכשיו ולא בסבב הבא.
4. ובינתיים, הגבילו מי יכול בכלל להגיע לממשק. אם הגישה מרחוק נדרשת רק לעובדים, הגבלה לפי כתובות מצמצמת את מי שיכול לנסות. זה אינו תיקון, אבל זה מקטין את החשיפה עד שהעדכון נכנס.
5. ואחרי העדכון, עברו על היומנים. SSRF משאיר סימן דווקא בצד הפנימי: בקשות שיצאו מהמכשיר אל שירותים שאין לו שום סיבה לפנות אליהם. זה מה שכדאי לחפש.