CVE-2026-15410

Falha de code injection (CWE-94) no console de gerenciamento (AMC) dos appliances SonicWall SMA1000, que permite a um administrador autenticado remoto executar comandos arbitrários no sistema operacional subjacente. O CVSS de 7.2 é moderado porque exige privilégio de administrador (PR:H), mas a inclusão no catálogo KEV da CISA com prazo de correção de apenas 3 dias (14 a 17 de julho de 2026) indica exploração ativa confirmada e risco tratado como crítico na prática, provavelmente por servir de etapa final em cadeias de ataque que já envolvem comprometimento prévio de credenciais administrativas.

A vulnerabilidade está classificada como CWE-94 (Improper Control of Generation of Code — 'Code Injection'), localizada especificamente no AMC (Appliance Management Console) do SMA1000, o painel de administração do appliance, e não na interface de acesso remoto de usuários finais. O advisory da SonicWall descreve a condição como dependente de 'condições específicas' sem detalhar o parâmetro ou funcionalidade exata vulnerável — informação que não está disponível nas fontes consultadas até o momento.

O vetor CVSS (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) indica que o ataque ocorre pela rede, sem necessidade de interação do usuário, com complexidade baixa, mas exigindo privilégios altos (PR:H) — ou seja, uma sessão administrativa autenticada válida no AMC. O impacto é total sobre confidencialidade, integridade e disponibilidade, consistente com execução de comandos arbitrários no OS do appliance.

Code injection pós-autenticação em consoles de gerenciamento tipicamente decorre de entrada de administrador (nome de configuração, campo de política, parâmetro de diagnóstico ou similar) sendo interpretada e executada pelo interpretador do sistema sem sanitização adequada, em vez de tratada como dado puro. Sem o detalhamento técnico do fornecedor sobre o endpoint ou campo específico, não é possível precisar qual funcionalidade do AMC está exposta.

O pré-requisito central, e o dado mais relevante para avaliar exposição real, é a exigência de autenticação como administrador no AMC (PR:H). Isso não é uma falha de pré-autenticação explorável por qualquer atacante na rede: o agente de ameaça precisa já possuir uma conta administrativa válida no console de gerenciamento — obtida por credenciais roubadas, força bruta bem-sucedida, phishing de administrador, ou encadeamento com outra vulnerabilidade que conceda esse acesso.

Uma vez autenticado como admin, o atacante envia a entrada maliciosa através do mecanismo vulnerável do AMC, que é processada e executada como código pelo sistema operacional do appliance, resultando em execução arbitrária de comandos com o nível de privilégio do processo do AMC — na prática, controle total do dispositivo.

A presença no catálogo KEV da CISA confirma exploração ativa in the wild, e a existência de PoC pública reduz a barreira técnica para replicar o ataque uma vez que o acesso administrativo já esteja disponível. O prazo de remediação de 3 dias definido pela CISA (BOD 26-04) reflete urgência alta, mesmo com o requisito de privilégio, sugerindo que a CISA avalia risco de encadeamento com outras técnicas de obtenção de credenciais administrativas contra esses appliances.

As versões exatas afetadas e a versão corrigida não constam de forma explícita nas fontes disponíveis nesta análise — o advisory oficial (SNWLID-2026-0008) deve ser consultado diretamente para o mapeamento preciso de builds vulneráveis e a versão de firmware que remedia a falha. Não há dado apurado suficiente para publicar aqui um número de versão sem risco de erro.

Como paliativo, restrinja o acesso de rede ao AMC apenas a redes de gerenciamento confiáveis (fora da internet pública), aplique autenticação multifator obrigatória para todas as contas administrativas e revise contas admin ativas em busca de credenciais fracas, compartilhadas ou não rotacionadas — já que o vetor de exploração depende inteiramente de uma sessão admin comprometida. Monitorar e limitar o número de contas com privilégio administrativo no AMC reduz a superfície de exposição mesmo sem o patch aplicado.

Restringir apenas a interface pública de VPN/acesso remoto não mitiga esta falha, pois a vulnerabilidade está no console de administração, não no portal de usuário final — são superfícies distintas. Organizações sob BOD 26-04 da CISA devem tratar o prazo de 3 dias como vinculante e, na ausência de mitigação disponível, avaliar a suspensão temporária do uso do AMC exposto até a aplicação da correção oficial.

As fontes consultadas não trazem indicadores de comprometimento (IOCs), assinaturas de log ou padrões de tráfego associados à exploração desta CVE. Não há sinal de detecção documentado publicamente até o momento desta análise — isso por si só é informação relevante: equipes de SOC não devem assumir que existe uma assinatura conhecida e confiável para caçar essa exploração nos logs do AMC.

Na ausência de IOCs publicados, a melhor aproximação é auditar logs de autenticação e de ações administrativas do AMC em busca de logins de administrador fora do padrão (horário, geolocalização, IP não usual) seguidos de operações de configuração ou diagnóstico atípicas, e cruzar com o período de exploração ativa reportado pela CISA (a partir de 14 de julho de 2026).