Ενεργές επιθέσεις σε SonicWall και εργαλεία MSP: λίστα ελέγχου

Αν η επιχείρησή σας χρησιμοποιεί τείχος προστασίας SonicWall ή αν αναθέτετε την IT υποστήριξη σε πάροχο διαχειριζόμενων υπηρεσιών (MSP), ο οποίος συνδέεται απομακρυσμένα για να διατηρεί τα συστήματά σας ενημερωμένα με διορθώσεις και να κρατά αντίγραφα ασφαλείας, έχετε δύο ξεχωριστούς λόγους να τηλεφωνήσετε αυτή την εβδομάδα. Και οι δύο αφορούν ευπάθειες τις οποίες οι επιτιθέμενοι εκμεταλλεύονται τώρα, όχι θεωρητικούς κινδύνους σε ένα ενημερωτικό δελτίο προμηθευτή που κανείς δεν διαβάζει. Κανένας από τους δύο λόγους δεν απαιτεί να γίνετε ειδικοί στην ασφάλεια. Απαιτεί να κάνετε συγκεκριμένες ερωτήσεις και να περιμένετε συγκεκριμένες απαντήσεις — ημερομηνίες, αριθμούς εκδόσεων, επιβεβαιώσεις — όχι καθησυχασμούς.

Ακολουθεί τι συμβαίνει σε κάθε περίπτωση, μαζί με μια λίστα ελέγχου που μπορείτε να αντιγράψετε, να επικολλήσετε και να στείλετε σε όποιον διαχειρίζεται το δίκτυό σας.

Πρόβλημα 1: Το τείχος προστασίας SonicWall (CVE-2026-15409 και CVE-2026-15410)

Η SonicWall αποκάλυψε και διόρθωσε δύο ευπάθειες στις 14 Ιουλίου 2026 — όμως, σύμφωνα με το ίδιο το χρονολόγιο της εταιρείας, οι επιτιθέμενοι τις εκμεταλλεύονταν ήδη περίπου τρεις εβδομάδες πριν από τη δημόσια αποκάλυψη. Αυτό σημαίνει ότι το «διορθωμένο τώρα» και το «ασφαλές τώρα» δεν είναι αυτομάτως το ίδιο πράγμα για μια συσκευή που ήταν εκτεθειμένη στο διαδίκτυο κατά τη διάρκεια εκείνου του διαστήματος.

Ο παράγοντας απειλής που αναφέρεται πιο σταθερά σε σχέση με αυτή την αλυσίδα ευπαθειών είναι η INC, μια επιχείρηση ransomware-as-a-service, την οποία οι ερευνητές της Rapid7 περιγράφουν ως μία από τις πιο ενεργές ομάδες του είδους της παγκοσμίως αυτή την περίοδο (αν και δεν έχει συνδεθεί οριστικά κάθε επίθεση που χρησιμοποιεί αυτές τις αδυναμίες ειδικά με την INC — σχεδόν σίγουρα εμπλέκονται και άλλοι ευκαιριακοί επιτιθέμενοι). Ξεχωριστά, η εταιρεία ασφάλειας Huntress ανέφερε μια ταχύτατα εξελισσόμενη έξαρση επιθέσεων, κατά την οποία παραβιάστηκαν 30 πελάτες της SonicWall σε λιγότερο από δύο ημέρες. Αυτός δεν είναι κίνδυνος που εξελίσσεται αργά.

Υπάρχει επίσης σχετικό ιστορικό: Η SonicWall είχε αποκαλύψει προηγουμένως ένα περιστατικό κατά το οποίο μια ομάδα υποστηριζόμενη από κρατικό φορέα έκλεψε αρχεία διαμόρφωσης τείχους προστασίας από κάθε πελάτη της SonicWall που χρησιμοποιούσε τη λειτουργία δημιουργίας αντιγράφων ασφαλείας στο cloud. Ένα κλεμμένο αρχείο διαμόρφωσης μπορεί να περιέχει διαπιστευτήρια τοπικών λογαριασμών και ρυθμίσεις VPN. Αν η διαμόρφωση του τείχους προστασίας σας είχε ποτέ αντιγραφεί στην υπηρεσία cloud της SonicWall πριν περιοριστεί εκείνο το περιστατικό, η διόρθωση των τρεχουσών αδυναμιών δεν αναιρεί ό,τι είχε ήδη εκτεθεί — τα διαπιστευτήρια από εκείνη τη διαμόρφωση μπορεί να χρειάζονται ακόμη αλλαγή.

Λίστα ελέγχου για αποστολή στον πάροχο IT ή τον MSP:

• «Ποιο μοντέλο SonicWall και ποια έκδοση υλικολογισμικού χρησιμοποιούμε αυτή τη στιγμή και διορθώνει αυτή η έκδοση τις CVE-2026-15409 και CVE-2026-15410;» (Ζητήστε να το επιβεβαιώσουν με βάση το ίδιο το ενημερωτικό δελτίο της SonicWall — μην αποδεχτείτε το «έχουμε την πιο πρόσφατη έκδοση» χωρίς αριθμό έκδοσης.)
• «Ποια ημερομηνία εφαρμόσαμε τη διόρθωση;» Αν ήταν μετά τις 14 Ιουλίου 2026, ζητήστε να ελέγξουν τα αρχεία καταγραφής που καλύπτουν τις προηγούμενες εβδομάδες για ενδείξεις μη εξουσιοδοτημένης πρόσβασης — απρόσμενες συνδέσεις διαχειριστών, νέους τοπικούς λογαριασμούς ή συνεδρίες SSLVPN από άγνωστες διευθύνσεις IP.
• «Ήταν η πύλη SSLVPN ή απομακρυσμένης πρόσβασης εκτεθειμένη στο διαδίκτυο κατά τη διάρκεια εκείνου του διαστήματος;» Αν ναι, ζητήστε υποχρεωτική επαναφορά κωδικού πρόσβασης για κάθε λογαριασμό που πραγματοποιεί έλεγχο ταυτότητας μέσω αυτής, όχι μόνο εγκατάσταση της διόρθωσης.
• «Είχε ποτέ δημιουργηθεί αντίγραφο ασφαλείας της διαμόρφωσης του τείχους προστασίας μας στην υπηρεσία cloud της SonicWall και, αν ναι, έχουν αλλάξει από τότε τα διαπιστευτήρια σε εκείνο το αρχείο διαμόρφωσης;»
• «Έχετε ενεργοποιήσει πολυπαραγοντικό έλεγχο ταυτότητας σε όλους τους λογαριασμούς απομακρυσμένης πρόσβασης μέσω του τείχους προστασίας;» Αν όχι, ζητήστε να τον ενεργοποιήσουν αυτή την εβδομάδα.

Πρόβλημα 2: Το εργαλείο απομακρυσμένης διαχείρισης του MSP σας (CVE-2026-18577 στο N-able N-central)

Αυτή η περίπτωση είναι διαφορετική, επειδή δεν αφορά τον δικό σας εξοπλισμό — είναι ένα εργαλείο που μπορεί να χρησιμοποιεί ο πάροχος IT σας για να διαχειρίζεται δεκάδες ή εκατοντάδες επιχειρήσεις-πελάτες, ενδεχομένως και τη δική σας, από μία κεντρική κονσόλα. Το N-able N-central είναι μία τέτοια πλατφόρμα και η CISA (Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ) πρόσθεσε μια ευπάθεια σε αυτή — τη CVE-2026-18577, με βαθμολογία σοβαρότητας 8.2 στα 10 — στον κατάλογό της με τις Γνωστές Εκμεταλλευόμενες Ευπάθειες, αφού επιβεβαίωσε ενεργή εκμετάλλευση από τις 31 Ιουλίου 2026. Η αδυναμία φέρεται να επιτρέπει σε έναν επιτιθέμενο να αποκτήσει πλήρη διαχειριστική πρόσβαση στην ίδια την κονσόλα N-central.

Αυτό έχει σημασία λόγω όσων μπορεί να κάνει ένας επιτιθέμενος από εκεί. Η Huntress ανέφερε ότι επιτυχημένες επιθέσεις μετακινήθηκαν από την παραβιασμένη κονσόλα στα τερματικά που διαχειρίζονταν μέσω αυτής — κάτι που σημαίνει ότι μια παραβίαση του εργαλείου του MSP μπορεί να εξελιχθεί σε παραβίαση των συστημάτων σας, χωρίς ο επιτιθέμενος να σας στοχεύσει ποτέ άμεσα. Η Huntress διαπίστωσε επίσης ότι οι επιτιθέμενοι δημιουργούσαν σήραγγες Cloudflare σε παραβιασμένα συστήματα, μια τεχνική που τους παρέχει έναν επίμονο, κρυπτογραφημένο τρόπο επανεισόδου, ο οποίος μπορεί να μοιάζει με συνηθισμένη κίνηση ιστού σε ένα τείχος προστασίας.

Δεν χρειάζεται να γνωρίζετε αν ο συγκεκριμένος πάροχός σας χρησιμοποιεί το N-central. Χρειάζεται να ρωτήσετε, και να ρωτήσετε ευρύτερα από το όνομα ενός μόνο προϊόντος.

Λίστα ελέγχου για αποστολή στον πάροχο IT ή τον MSP:

• «Χρησιμοποιείτε το N-able N-central ή κάποιο άλλο προϊόν της N-able για να διαχειρίζεστε τα συστήματά μας;» Αν ναι: «Έχει διορθωθεί έναντι της CVE-2026-18577 και από ποια ημερομηνία;»
• «Έχετε ελέγξει τη δραστηριότητα των λογαριασμών διαχειριστών και τα αρχεία καταγραφής πρόσβασης στην κονσόλα διαχείρισής σας από τις 31 Ιουλίου 2026, για οτιδήποτε δεν μπορείτε να εξηγήσετε;»
• «Έχετε ελέγξει ειδικά τα συστήματά μας για απρόσμενες εξερχόμενες συνδέσεις — ιδιαίτερα διεργασίες σηράγγων Cloudflare (που μερικές φορές εμφανίζονται ως 'cloudflared') ή τομείς σηράγγων που δεν δημιουργήσατε εσείς;»
• «Έχουν προωθηθεί στα συστήματά μας νέοι τοπικοί λογαριασμοί διαχειριστών, προγραμματισμένες εργασίες ή πολιτικές απομακρυσμένης διαχείρισης, τους οποίους δεν μπορείτε να αποδώσετε στη δική σας ομάδα;»
• «Αν δεν χρησιμοποιείτε το N-central, ποιο εργαλείο απομακρυσμένης διαχείρισης χρησιμοποιείτε αντ’ αυτού και έχει προστεθεί πρόσφατα κάποια ευπάθεια του σεζτον κατάλογο της CISA με τις Γνωστές Εκμεταλλευόμενες Ευπάθειες;»

Τι να κάνετε με τις απαντήσεις

Ένας καλός πάροχος IT θα απαντήσει σε αυτά με ημερομηνίες και συγκεκριμένα στοιχεία, συχνά μέσα σε μία ημέρα, επειδή θα πρέπει ήδη να γνωρίζει αυτές τις πληροφορίες ή να μπορεί να τις αντλήσει γρήγορα από τα αρχεία καταγραφής. Μια αόριστη απάντηση — «το έχουμε υπό έλεγχο», «τα συστήματά μας είναι ασφαλή», χωρίς να δίνονται ημερομηνίες — είναι από μόνη της χρήσιμη πληροφορία: σας δείχνει ότι αυτή η συζήτηση πρέπει να επαναληφθεί, γραπτώς, με συγκεκριμένη προθεσμία.

Αν διαχειρίζεστε μόνοι σας το SonicWall χωρίς MSP, η παραπάνω λίστα ελέγχου εξακολουθεί να ισχύει άμεσα για εσάς — συνδεθείτε μόνοι σας στην κονσόλα διαχείρισης, ελέγξτε την έκδοση υλικολογισμικού και ελέγξτε τη σελίδα ενημερωτικών δελτίων της SonicWall για την έκδοση που διορθώνει και τις δύο CVE.

Καμία από αυτές τις αδυναμίες δεν απαιτεί να διακόψετε τη συνεργασία με έναν προμηθευτή ή να απολύσετε έναν πάροχο. Απαιτούν επιβεβαίωση ότι το συγκεκριμένο κενό έχει κλείσει και ότι τίποτα δεν πέρασε από αυτό όσο παρέμενε ανοιχτό. Κάντε τις ερωτήσεις, σημειώστε τις ημερομηνίες και βάλτε μια υπενθύμιση στο ημερολόγιό σας για να ρωτήσετε ξανά την επόμενη φορά που ένας προμηθευτής θα γνωστοποιήσει κάτι που «έχει γίνει αντικείμενο ενεργής εκμετάλλευσης». Θα ξανασυμβεί. Η προηγούμενη προσπάθεια ΑΠΟΡΡΙΦΘΗΚΕ για τον εξής λόγο: τίτλος: 75 χαρακτήρες, πάνω από το όριο SEO των 70 Διορθώστε ακριβώς αυτά τα προβλήματα.