SMA1000 diventa il punto di monetizzazione per INC
SMA1000 non è più solo un varco di accesso: con la catena delle due falle, un singolo compromesso può finire sia in esfiltrazione sia in cifratura. La lettura standard si ferma alla patch del gateway; il problema reale è che il dispositivo di accesso remoto diventa subito un punto di monetizzazione, con dati rubati e ransomware nello stesso colpo.
Le fonti confermano lo sfruttamento attivo di CVE-2026-15409 e CVE-2026-15410 su SonicWall SMA1000, con INC ransomware emerso come attore dominante dopo la disclosure. Rapid7 indica che la fase iniziale non è attribuibile in blocco a INC, ma la parte post-disclosure ha usato la stessa catena per ottenere pieno controllo, sottrarre dati e passare rapidamente alla cifratura; SonicWall aveva già corretto le falle il 14 luglio.
Per chi gestisce questi appliance, il punto non è solo contenere un accesso iniziale: una compromissione riuscita può già aver esposto dati per estorsione e lasciato dietro di sé un’azione di ransomware. SMA1000 resta quindi un bersaglio ricorrente, non un episodio isolato.