SonicWall 发布紧急安全公告（SNWLID-2026-0016），确认其 SMA1000 系列安全移动访问网关存在两枚遭在野利用的零日漏洞：CVE-2026-83548 为 CVSS 满分 10.0 的未认证 SSRF 漏洞，CVE-2026-83549 为 CVSS 7.8 的操作系统命令注入漏洞，两者链式组合可实现未认证远程代码执行。CISA 已将漏洞列入已知被利用漏洞（KEV）目录，要求联邦机构在 9 月 5 日前完成修复。
事件概述
SMA1000（Secure Mobile Access 1000 系列）是企业级安全远程访问网关，广泛部署于大型企业、政府机构与 MSSP，作为 VPN 与零信任接入设备提供内网应用访问。本次受影响型号为 6210、7210 与 8200v，运行 12.4.3-03453（platform-hotfix）及更早版本、12.5.0-02835（platform-hotfix）及更早版本的平台均在影响范围内。SonicWall 确认漏洞已在野外被积极利用。
技术细节
CVE-2026-83548 是位于面向用户的 Work Place 界面的预认证 SSRF 漏洞，根源在于存在一条非预期的备用访问路径，远程未认证攻击者可借此访问敏感功能并执行未授权操作，评分高达 CVSS 10.0。CVE-2026-83549 则是位于设备管理控制台（AMC）的操作系统命令注入漏洞，需管理员认证后触发，CVSS 7.8。两条漏洞单独看利用门槛一高一低，但组合使用时，SSRF 漏洞可绕过边界抵达内部管理功能，与命令注入衔接后形成完整的未认证 RCE 攻击链，直接威胁作为网络边界的 VPN 网关本体。
影响评估
VPN 网关处于网络最外层，一旦被完全控制，攻击者可截获远程访问流量、直入企业内网并向核心系统横向移动，SonicWall 设备近年也反复成为勒索软件攻击的首选入口。叠加零日状态、在野利用确认与 CISA 限期修复令，应按最高优先级处置。
修复建议
- 立即升级修复版本：12.4.3-03526（platform-hotfix）或更高、12.5.0-02952（platform-hotfix）或更高。
- 按厂商指引排查失陷指标（IOC），若发现入侵痕迹，应对设备重新镜像并重置全部相关凭证。
- 临时缓解：限制 SMA1000 管理界面与 Work Place 界面的公网暴露，仅允许可信来源访问。
- 检测规则：Qualys 用户可使用 QID 388624 扫描识别受影响资产；网络侧重点监控针对 Work Place 界面的异常请求。