SonicWall SMA1000 系列远程接入网关被披露存在一个未认证服务端请求伪造（SSRF）漏洞，编号 CVE-2026-102255，CVSS 3.1 评分达到满分 10.0。厂商已于 2026 年 10 月 6 日随公告 SNWLID-2026-0017 一并推送热修复，攻击者不需要任何账号，就能借一条特制请求让设备替自己向内网功能发起调用。这已是 SonicWall 今年第三次在同一个 WorkPlace 门户上修掉 10.0 分的未认证 SSRF。
事件概述
本次公告共修复四个漏洞，受影响型号为 SMA1000 系列的 6210、7210 与 8200v，涉及 12.4.3-03526 及更早、12.5.0-02952 及更早两个平台热修分支。修复版本分别为 12.4.3-03670 与 12.5.0-03082 及以上，需从 MySonicWall 门户获取，安装后设备会重启，公告未提供任何临时缓解措施。SonicWall 表示暂未发现这四个漏洞被实际利用。需要注意的是，SMA 100 系列以及防火墙上的 SSL-VPN 功能不受影响。
技术细节
CVE-2026-102255 出在 WorkPlace 门户，也就是远程用户登录 SMA1000 的入口。由于存在一条非预期的备用访问路径，设备会把本应内部处理的请求转发出去，形成典型的混淆代理式 SSRF：外部攻击者只要发一个未认证请求，设备就会代其访问仅限本机可达的后端服务并执行未授权操作。SonicWall 未说明具体可触达哪些内部功能。
同批修复的另外三个漏洞均需登录后才可利用：CVE-2026-102256 为操作系统命令注入（CVSS 7.8），CVE-2026-102257 为 Zip Slip 归档解压路径穿越（7.2），CVE-2026-102258 为管理控制台存储型 XSS（5.5）。其中最关键的两枚由 Anthropic 的 Benoit Sevens 报告，另外两枚由 DigitalCanion SA 的 Brian Mariani 报告，其中一份经趋势科技零日计划（ZDI）提交。换言之，本次是外部研究者而非厂商自查发现的漏洞。
影响评估
10.0 的评分反映了两件事：无需认证，且能触达设备内部功能。SMA1000 处于网络最外沿，承担全部远程用户的 VPN 会话与目录服务对接，一旦被攻陷，受影响的不只是这台设备本身，而是它背后的整个身份体系。更值得警惕的是历史规律：今年 7 月的 CVE-2026-15409/15410 与 9 月的 CVE-2026-83548/83549，都是未认证 SSRF 加认证后命令注入的组合，且两次都被确认遭到实际利用。外界目前统计到约 400 台暴露在互联网上的 SMA1000 实例。同一组件年内三次出现满分未认证 SSRF，说明问题不在单条代码路径，而在访问模型本身。
修复建议
- 立即升级到 12.4.3-03670 或 12.5.0-03082 及以上分支；由于官方未给出绕过方案，升级是唯一根治手段。
- 管理控制台与 WorkPlace 门户不应直接暴露在互联网，限制为运维网段访问并叠加多因素认证。
- 审计设备日志，排查异常请求与新增或变更的管理员账号；参考 7 月与 9 月两轮事件，重点确认是否存在外部 IP 向内网服务的转发记录。
- 9 月的旧热修版本本身仍在本次受影响范围内，切勿以为上次打过补丁就安全。