Se i tuoi dipendenti si collegano all’azienda da casa o da un’altra sede, è probabile che passino da un apparato che quasi nessun imprenditore ha mai visto in faccia: il concentratore VPN. Il 14 luglio SonicWall ha comunicato che due falle nei suoi apparati SMA 1000 sono già sfruttate in attacchi reali. La correzione esiste ed è disponibile.
Il giorno stesso l’agenzia americana per la cybersicurezza (CISA) ha inserito entrambe le vulnerabilità nel catalogo delle falle “già sfruttate”, imponendo alle agenzie federali statunitensi di intervenire entro il 17 luglio.
Cosa è successo, in parole semplici
Le vulnerabilità sono due e non sono uguali:
- CVE-2026-15409 è la più grave (punteggio 10 su 10). Colpisce l’interfaccia da cui gli utenti si collegano e può essere sfruttata da remoto, senza username né password: è la porta che dovrebbe essere chiusa a chiave e invece si apre.
- CVE-2026-15410 è meno grave (punteggio 7,2) e permette di eseguire comandi sull’apparato, ma richiede già credenziali da amministratore.
SonicWall dichiara di aver esaminato “diversi casi che indicano lo sfruttamento attivo” delle due falle. In pratica: non è un rischio teorico, sta già succedendo.
CVE-2026-15409 è sfruttabile da remoto senza autenticazione. CISA l'ha inserita nel catalogo KEV il 14 luglio, con termine al 17 luglio per le agenzie federali USA.
Fonte: BleepingComputer, SecurityWeek, Help Net Security — luglio 2026
Come capire in due minuti se ti riguarda
Gli apparati coinvolti sono gli SMA 1000 nei modelli 6210, 7210 e 8200v (quest’ultimo è la versione virtuale, non una scatola fisica).
Le versioni firmware vulnerabili sono: 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 e 12.5.0-02800.
Le versioni corrette da installare sono l’hotfix 12.4.3-03453 oppure 12.5.0-02835, o successive.
Se questi numeri non ti dicono nulla è normale: sono esattamente le informazioni da girare a chi gestisce la tua rete. Il punto è un altro, ed è gestionale, non tecnico: molte PMI non sanno di avere un SMA 1000, perché è stato installato anni fa dal fornitore IT e da allora “funziona e basta”. Gli apparati di accesso remoto sono proprio quelli che si dimenticano, perché nessuno ci mette le mani finché non si rompono.
Il concentratore VPN è l'unico dispositivo aziendale esposto su internet per definizione: deve esserlo, altrimenti i dipendenti non entrerebbero. Per questo è il primo che gli attaccanti provano.
Se l’apparato fosse già stato compromesso
Qui sta la differenza tra questa notizia e un normale aggiornamento di sicurezza. Quando una falla è già sfruttata, applicare la patch chiude la porta ma non caccia fuori chi è eventualmente già entrato.
Per questo le raccomandazioni riportate dalle fonti vanno oltre l’aggiornamento: esaminare i log dell’apparato in cerca di segnali di compromissione e, se emergono, reinstallare l’apparato da zero, cambiare le password di utenti e amministratori e rigenerare i token dell’autenticazione a due fattori. Sono operazioni da far fare a un professionista, ma sapere che esistono ti serve per non accontentarti di un “ho aggiornato, a posto”.
Quattro domande da girare subito all’IT (o all’MSP)
- Abbiamo un SonicWall SMA 1000 (modello 6210, 7210 o 8200v) per l’accesso remoto?
- Se sì, su quale versione firmware siamo e rientra tra quelle vulnerabili?
- Possiamo applicare l’hotfix 12.4.3-03453 o 12.5.0-02835 e in quanto tempo?
- Abbiamo controllato i log per capire se qualcuno è già entrato prima della patch?
In breve
Due falle negli apparati VPN SonicWall SMA 1000 sono già usate in attacchi reali e la più grave non richiede alcuna password. La correzione è disponibile da subito. Per una PMI la mossa giusta non è allarmarsi: è verificare oggi se quell’apparato è in azienda, su quale versione gira e se qualcuno ci è già entrato. L’accesso remoto è comodo perché è aperto verso l’esterno, ed è rischioso per lo stesso identico motivo.