SonicWall 警告：SMA1000 两个零日漏洞正被串联利用，远程访问设备需立即排查
据 BleepingComputer 报道，SonicWall 于 2026 年 9 月 2 日向客户发出安全警告，称其 SMA1000 系列设备中存在两个新的零日漏洞，并且已经被威胁行为者在真实攻击中串联利用。来源显示，攻击者可借助这些缺陷发起远程代码执行攻击，这意味着受影响的远程访问基础设施可能在未授权情况下被执行恶意操作。对于依赖安全移动访问设备、VPN 网关或远程办公入口的组织而言，这类漏洞的风险不只停留在单台设备层面，还可能影响内部网络边界的整体可信度。
事件要点：零日漏洞被用于远程代码执行
本次通报的核心在于“零日”和“已被利用”两个关键词。零日漏洞通常意味着厂商在发现问题前或修复完成前，攻击者已经掌握了可行利用方式；而远程代码执行则属于高危攻击类型，因为攻击者可能无需物理接触设备，就能在目标系统上运行代码。
来源摘要显示，威胁行为者正在链式利用两个新的 SMA1000 零日漏洞。所谓链式利用，通常是指攻击者将多个缺陷组合起来，绕过单一防护限制或提升攻击效果。虽然来源未披露更多技术细节，但从防御角度看，相关设备一旦暴露在公网或承担远程接入功能，就应被视为优先检查对象。
- 受关注产品：SonicWall SMA1000 系列远程访问相关设备。
- 攻击方式：两个新零日漏洞被串联用于远程代码执行攻击。
- 风险状态：来源显示漏洞已遭活跃利用，并非仅停留在理论层面。
- 防护重点：管理员应关注厂商安全公告、补丁状态、设备日志与异常登录行为。
为什么远程访问设备成为高价值目标
远程访问设备、VPN 网关和安全访问控制系统通常位于企业网络边界，既面向外部用户提供入口，又与内部资源存在连接关系。正因如此，一旦这类设备被攻破，攻击者可能获得比普通终端更高的网络位置优势。对攻击者来说，入侵远程访问入口往往比逐台钓鱼员工终端更具效率。
过去几年，边界设备漏洞被用于入侵、横向移动和数据窃取的案例持续增加。本次 SonicWall 警告再次说明，VPN 与远程访问系统本身也需要被当作关键资产来防护，而不能仅被视为“加密通道工具”。加密传输只能保护通信内容不被轻易窃听，却不能自动消除设备软件缺陷、弱配置或被盗凭据带来的风险。
对 VPN 用户与企业管理员的影响
对普通 VPN 用户而言，此类事件提醒我们：选择和使用远程访问服务时，除了关注速度、节点和连接稳定性，还应重视服务端安全维护能力。若企业或机构使用受影响设备作为远程办公入口，员工即便使用正确账号登录，也可能受到后端基础设施安全状态的影响。
对企业管理员而言，当前最重要的是确认自身环境中是否部署了相关设备，并核对厂商发布的缓解建议或修复版本。若设备用于公网远程访问，应检查是否存在异常管理登录、未知会话、可疑配置变更以及不寻常的流量峰值。对于无法立即完成修复的环境，建议评估临时限制访问来源、强化多因素认证、降低管理接口暴露面，并提高日志监控等级。
从隐私保护角度看，远程访问入口被攻破可能导致访问记录、身份凭据、内部资源路径等敏感信息暴露。因此，安全补丁、访问控制和身份验证策略应与加密连接同等重要。个人用户如需额外保护公共网络中的流量，可将 RedGate VPN 作为一种可选加密工具，但仍应同时保持系统、浏览器和账号安全设置处于最新状态。
建议采取的防护步骤
- 立即查看 SonicWall 官方面向 SMA1000 的安全通知，确认是否存在适用补丁或缓解措施。
- 盘点所有远程访问设备，尤其是暴露在公网、承担 VPN 或管理入口功能的系统。
- 检查近期日志，重点关注异常登录、未知管理员操作、失败认证激增和异常外联。
- 启用或强化多因素认证，并限制管理接口访问范围。
- 在补丁部署后继续监控，因为已被利用的漏洞可能意味着部分环境已遭入侵。
总体来看，本次事件不是单纯的软件更新提醒，而是一次针对远程访问基础设施的现实攻击警报。对于依赖远程办公、跨区域连接和外部访问的组织来说，尽快验证资产状态并落实修复，比等待更多攻击细节公开更为重要。