SonicWall SMA1000两个零日遭在野链利用：CVE-2026-83548满分10.0，CISA要求联邦机构9月5日前修补

SonicWall于2026年9月1日发布安全公告SNWLID-2026-0016，确认SMA1000系列安全远程接入设备的两个漏洞已在野被利用，且被攻击者组合使用以实现未认证远程代码执行。受影响型号为SMA 6210、7210与8200v，受影响版本为12.4.3-03453及更早、12.5.0-02835及更早；修复版本为平台热修复12.4.3-03526与12.5.0-02952。

CVE-2026-83548是设备WorkPlace接口的预认证服务器端请求伪造（SSRF）漏洞，源于一条非预期的替代访问路径，使设备实际暴露了正向代理功能。未经认证的远程攻击者可借此让设备发出任意内部请求，跨过「公网接口—内部管理服务」的信任边界，CVSS评分10.0。

CVE-2026-83549位于设备管理控制台（AMC），属操作系统命令注入（CWE-78），CVSS 7.8，正常情况下需要管理员认证与特定系统条件。但MS-ISAC警告，两个漏洞串联后攻击者无需从合法管理权限起步即可获得代码执行：预认证SSRF → 抵达管理功能 → 命令注入 → 远程接入设备沦陷。

美国CISA于9月2日将CVE-2026-83548列入已知被利用漏洞（KEV）目录，结合BOD 26-04指令要求联邦机构在9月5日前完成缓解；欧盟ENISA同日亦将其列入自身KEV清单，加拿大网络安全中心与新加坡CSA也相继发布通告。有证据显示漏洞在披露当日即遭利用。

值得注意的是，SMA1000产品家族在不到两个月前刚经历一轮零日攻击（2026年7月的CVE-2026-15409与CVE-2026-15410，同样为预认证SSRF+命令注入组合）。SonicWall建议客户不仅打补丁，还应联系技术支持排查失陷指标；一旦发现IoC，需重新镜像物理设备或重新部署虚拟设备、更改全部用户与管理员口令，并重置TOTP令牌——因为远程接入网关一旦沦陷，可成为攻击者控制的信任代理、用于劫持会话与伪造认证令牌。