SonicWall сообщила о двух уязвимостях в Global Management System (GMS), продукте, срок поддержки которого завершён. Компания не выпустит для них исправления или обновления безопасности. Организациям, которые всё ещё используют GMS, настоятельно рекомендуют перейти на SonicWall Network Security Manager (NSM).
Обе проблемы затрагивают SonicWall GMS версии 9.5.2 и более ранние. Наиболее опасная, CVE-2026-109593, получила оценку 9,1 по шкале CVSS. Это уязвимость чтения файлов без аутентификации: при сетевом доступе злоумышленник может просматривать внутренние файлы GMS и потенциально получить конфиденциальные сведения.
Вторая уязвимость, CVE-2026-109594, оценена в 6,8 балла CVSS. Это SQL-инъекция, для эксплуатации которой требуется аутентификация. При определённых условиях вошедший в систему атакующий может получить доступ к данным базы GMS или изменить их.
В уведомлении, опубликованном во вторник, SonicWall объяснила отсутствие исправлений статусом продукта: GMS достиг конца жизненного цикла. Компания призвала пользователей учитывать связанные с этим риски и перейти на NSM. Для организаций это означает, что устранить обнаруженные проблемы обновлением старой системы не получится.
Новое сообщение появилось менее чем через месяц после того, как SonicWall выпустила исправления для другой критической уязвимости — CVE-2026-102255. Её оценка CVSS составляет 10,0. Это SSRF-уязвимость на стороне сервера, не требующая предварительной аутентификации: она могла позволить атакующему обращаться к внутренним функциям и выполнять несанкционированные операции.
CVE-2026-102255 уже эксплуатировали в реальных атаках. По данным телеметрии Previdian, с 9 октября 2026 года зарегистрировано 2 541 попытка эксплуатации с восьми уникальных IP-адресов, расположенных в Сингапуре и США.
3 ноября 2026 года телеметрия зафиксировала до 30 попыток эксплуатации за день. Эти данные относятся к CVE-2026-102255, а не к двум новым уязвимостям GMS. Для пользователей старой системы практический шаг один: планировать переход на SonicWall NSM, поскольку исправлений для CVE-2026-109593 и CVE-2026-109594 не будет.
Изображение носит иллюстративный характер
Обе проблемы затрагивают SonicWall GMS версии 9.5.2 и более ранние. Наиболее опасная, CVE-2026-109593, получила оценку 9,1 по шкале CVSS. Это уязвимость чтения файлов без аутентификации: при сетевом доступе злоумышленник может просматривать внутренние файлы GMS и потенциально получить конфиденциальные сведения.
Вторая уязвимость, CVE-2026-109594, оценена в 6,8 балла CVSS. Это SQL-инъекция, для эксплуатации которой требуется аутентификация. При определённых условиях вошедший в систему атакующий может получить доступ к данным базы GMS или изменить их.
В уведомлении, опубликованном во вторник, SonicWall объяснила отсутствие исправлений статусом продукта: GMS достиг конца жизненного цикла. Компания призвала пользователей учитывать связанные с этим риски и перейти на NSM. Для организаций это означает, что устранить обнаруженные проблемы обновлением старой системы не получится.
Новое сообщение появилось менее чем через месяц после того, как SonicWall выпустила исправления для другой критической уязвимости — CVE-2026-102255. Её оценка CVSS составляет 10,0. Это SSRF-уязвимость на стороне сервера, не требующая предварительной аутентификации: она могла позволить атакующему обращаться к внутренним функциям и выполнять несанкционированные операции.
CVE-2026-102255 уже эксплуатировали в реальных атаках. По данным телеметрии Previdian, с 9 октября 2026 года зарегистрировано 2 541 попытка эксплуатации с восьми уникальных IP-адресов, расположенных в Сингапуре и США.
3 ноября 2026 года телеметрия зафиксировала до 30 попыток эксплуатации за день. Эти данные относятся к CVE-2026-102255, а не к двум новым уязвимостям GMS. Для пользователей старой системы практический шаг один: планировать переход на SonicWall NSM, поскольку исправлений для CVE-2026-109593 и CVE-2026-109594 не будет.
