先說結論：使用 SonicWall SMA1000 遠端存取設備的團隊，應核對實際機型、安裝中的平台修補版與原廠最新公告，優先完成可用更新。SonicWall 在 2026 年 10 月初公告 CVE-2026-102255，將它列為滿分 10.0 的伺服器端請求偽造弱點；這類問題會讓設備替外部請求者連到原本不該由其接觸的服務。加拿大網安中心 10 月 9 日更新警示，指出有公開報告稱漏洞正在野外被利用，但原廠截至其 10 月 6 日更新的產品通知仍寫著沒有利用證據。兩者發布時間與證據口徑不同，不能把公開報告直接改寫為已確認的入侵事實。本文在台北時間 10 月 11 日重新查核兩個官方頁面，並發現加拿大警示的版號邊界與原廠固定版也不一致；維運決策應以原廠最新修補資訊為準，同時保留本地調查。
背景與前因：SMA1000 是企業提供遠端登入與應用存取的設備系列，可能位在組織網路入口，因此更新時既要處理弱點，也要維持合法使用者的連線。SonicWall 的產品通知最初於 10 月 5 日發表、10 月 6 日更新，列出同批四個不同編號的弱點；本文聚焦 CVE-2026-102255，而非把另外三項的後果都算在這個編號上。加拿大網安中心 10 月 7 日發布獨立警示，10 月 9 日再加入公開利用報告的資訊。這種前後變化提醒團隊在排定維護時重新看公告日期，不要只沿用初次下載的快照，也不要用未更新的內部清單推論設備現況。
原因與前置條件：原廠將 CVE-2026-102255 歸類為伺服器端請求偽造，英文縮寫 SSRF。白話說，原本應替合法使用者處理連線的設備，可能在驗證不足時被外部請求者利用，改向其他服務發出請求。滿分 10.0 是用標準模型評估漏洞本身的嚴重度，不代表每家組織必然已被攻擊，也不能取代實際的版本、網路可達性和監控紀錄。此次被點名的是 SMA1000 系列，而不是看到 SonicWall 商標就一概受影響。另一項同批公告的遠端程式碼執行弱點 CVE-2026-102256，以及路徑穿越和跨站腳本問題，也各有獨立編號；如需評估那些風險應另查對應條目，不可將其技術後果全數歸給本篇。
影響範圍：SonicWall 原廠產品通知明列 SMA1000 的 6210、7210、8200v 機型，涵蓋所列的實體或虛擬部署。原廠表格顯示，12.4.3 支線到 12.4.3-03526 及更早的平台修補版，或 12.5.0 支線到 12.5.0-02952 及更早版本，位於其公告的受影響區間。對應的原廠固定版為 12.4.3-03670 與 12.5.0-03082，或同支線更後續版本。平台修補版不是只看前面的 12.4.3 或 12.5.0 主版號；同一主版號下的後段數字仍會決定是否跨過修正門檻。多台設備組成的服務也必須逐台盤點，備援、測試或不同虛擬平台的節點不應被主機清單的一列合併掉。
兩份官方公告在版號上出現值得公開說明的差異：加拿大網安中心 10 月 9 日警示把 12.4.3-03670 與 12.5.0-03082 寫在『及其之前』的影響版本欄；SonicWall 原廠產品通知卻明列這兩個版號及後續為固定版。這是同一邊界的實質衝突，不能偷偷挑一個數字而不告訴讀者。本文以負責發行韌體的原廠修補表作為選版依據，並建議在變更前查看原廠目前可下載的最新平台修補版、核對產品支援狀態；若版本判讀影響重大系統，應向原廠或授權支援窗口確認。也不應拿較早的另一份公告當成證據，宣稱 12.4.3-03670 一定還有這個 CVE。
利用狀態也須按證據層級表述。SonicWall 10 月 6 日更新的產品通知寫明，當時沒有看到這批漏洞在野外遭利用的證據；加拿大網安中心 10 月 9 日更新則說，公開來源報告指出 CVE-2026-102255 可能已遭利用。後者沒有在這份簡短警示中提供可供讀者獨立驗證的受害名單、樣本或調查細節，前者也不會自動否定兩天後可能出現的新觀察。因此，本文把這項利用訊息列為需追蹤的風險訊號，而不是已由兩個機構共同證實的攻擊事件。『可能被利用』『有公開報告』與『組織已受害』是三種不同說法，不能互相取代。
產品界線同樣重要。原廠通知針對 SMA1000 指定機型和版號，沒有把所有 SonicWall 防火牆或其他遠端存取產品列入同一表格。企業若只使用其他系列，應依自身設備的正式公告評估，不必因產品品牌相同就將本 CVE 誤報給全部資產；若設備同時與防火牆串接，也不能因前端防火牆已更新，就假設背後的 SMA1000 已完成修補。對外入口、管理平面與實際執行版本應分開記錄。盤點結果最好包含機型、虛擬或實體型態、目前平台修補版、對外可達性、服務負責人、更新日期及回讀證據，方便同一團隊核對哪些節點仍在原廠公告範圍內。
你可以怎麼做：先由維運與資安團隊共同確認所有 SMA1000 設備，依原廠產品通知核對版號和可用的新平台修補版。對符合受影響條件、尤其承擔對外遠端登入的節點，安排盡快升級；變更前確認組態備份、備援切換和回復方案，變更後讀回安裝版號，測試必要的登入與應用存取。若既有監控出現不尋常的設備連線、管理操作或服務錯誤，保留日誌及時間線，再由授權人員判讀。補丁可以解決程式缺陷，卻不能單獨證明過去沒有異常；若經調查確有入侵疑慮，應按組織應變流程評估隔離與相關登入資訊的處理。本文不提供會觸發弱點的請求格式或測試步驟。
如果維護窗口尚未到來，也不宜把『等公告更明朗』視為完成處置。團隊可先縮小非必要的網路暴露，檢查遠端存取入口的監控與異常通報是否有效，記錄暫行措施、責任人及預計更新日期；這些措施只是過渡，不能替代安裝原廠固定版。對高可用叢集或跨區服務，可在確認合法使用者不致大規模中斷的前提下分階段更新，並逐台驗證版號，避免將流量切換到仍有缺陷的備援節點。若沒有支援中的修補路徑，則需要與供應商討論遷移或汰換，不能用關閉一個介面就推論所有攻擊面消失。
目前可確認的是原廠已公布 CVE-2026-102255、列出 SMA1000 的受影響機型與固定版，加拿大網安中心也在 10 月 9 日更新了利用風險訊息；未能由公開文件回答的是讀者設備的實際配置、是否已使用最新修補版、加拿大警示的版號差異何時更正，以及公開利用報告在各環境的證據細節。這些未解問題不應阻止核對與升級，但也不能被寫成任何具名組織已失守。用原廠固定版作選版基準、以本地資產與日誌判斷曝險，並持續追蹤兩個官方頁面的後續更新，才是面對公告差異時較可稽核的處理方式。
官方來源：
- Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0017)（SonicWall）
- SonicWall security advisory (AV26-1017) – Update 1（加拿大網路安全中心）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。