SonicWall于2026年9月1日公开SMA1000系列安全公告，披露CVE-2026-83548和CVE-2026-83549两处漏洞。厂商明确表示，这两处漏洞已经在真实攻击中被利用。美国网络安全和基础设施安全局CISA随后将其加入“已知被利用漏洞目录”（KEV）。
云侦探根据SonicWall与CISA公开资料整理本文，不提供漏洞利用代码，也不是针对实际设备进行的安全测试。截至2026年9月19日，相关官方告警仍然有效，使用受影响设备的管理员不应只看漏洞评分，而应立即核对型号和系统版本。
两处漏洞分别有什么风险
CVE-2026-83548存在于SMA1000的Appliance Work Place界面，是一处无需登录即可触发的服务器端请求伪造漏洞，CVSS评分为10.0。由于设备存在非预期的访问路径，远程攻击者可能借此接触本来不应对外开放的敏感功能，并执行未经授权的操作。
CVE-2026-83549存在于Appliance Management Console管理控制台，是一处操作系统命令注入漏洞，CVSS评分为7.8。在单独利用的条件下，攻击者需要已经取得管理员身份，并满足特定条件，才可能执行任意系统命令，造成远程代码执行。
部分安全研究认为两处漏洞可能被串联，进而扩大攻击能力。不过，SonicWall公开公告没有公布完整攻击链和具体入侵过程。因此，更准确的说法是“两处漏洞均已确认遭到利用”，不应直接写成“官方确认任何人无需登录即可完全控制设备”。
哪些设备和版本受到影响
本次公告影响SonicWall SMA1000系列的6210、7210和8200v型号，具体版本范围如下：
- 12.4.3-03453 platform-hotfix及更早版本；
- 12.5.0-02835 platform-hotfix及更早版本。
对应的修复版本为：
- 12.4.3分支升级至12.4.3-03526 platform-hotfix或更高版本；
- 12.5.0分支升级至12.5.0-02952 platform-hotfix或更高版本。
需要特别说明的是，本次漏洞不影响运行在SonicWall防火墙上的SSL-VPN，也不影响SMA 100系列产品。管理员应先确认产品系列，避免把所有SonicWall设备都误判为受影响。
为什么不能只安装补丁就结束
CISA将两处漏洞加入KEV目录，代表已有实际利用证据。CISA规定的整改日期针对受其指令约束的美国联邦民用机构，并不是漏洞的“失效日期”，也不代表其他企业可以继续等待。
补丁能够封堵漏洞，却不能自动清除补丁安装前已经发生的入侵。SMA1000属于远程访问网关，通常部署在网络边界。一旦设备曾经直接暴露在公网，并且运行过受影响版本，就需要同时检查是否已经出现异常访问或配置变化。
管理员现在应该怎么处理
- 盘点所有SMA1000硬件与虚拟设备，核对具体型号、版本号及是否对公网开放。
- 按照所在版本分支安装SonicWall发布的最新platform-hotfix，升级后再次确认实际运行版本。
- 联系SonicWall技术支持，按官方建议检查设备是否存在入侵迹象。进行重装前应按照内部流程保留相关日志和证据。
- 如果发现入侵迹象，硬件设备应重新安装系统，虚拟设备应从可信镜像重新部署，不能只删除可疑文件后继续使用。
- 完成所有用户和管理员密码更换，并重置基于时间的一次性密码，也就是TOTP令牌。
- 修复后重新检查远程访问、管理员登录、身份验证和日志记录是否正常，避免设备虽然显示升级成功，实际业务或安全配置却没有恢复。
云侦探观点
这次事件的重点不是制造“所有SonicWall设备都危险”的恐慌，而是迅速找出仍在运行受影响版本的SMA1000。对于公网远程接入设备，“已安装补丁”和“确认没有被入侵”是两件不同的事。已经暴露过的设备，应同时完成版本修复和入侵排查；如果发现异常，再执行重装、密码轮换和TOTP重置。
官方公告：SonicWall安全公告SNWLID-2026-0016
利用状态：CISA KEV新增漏洞公告
