SonicWall ha avvertito che due vulnerabilità che interessano Global Management System (GMS) 9.5.2 e versioni precedenti non riceveranno aggiornamenti di sicurezza perché il prodotto ha raggiunto la fine del ciclo di vita (EoL). L’azienda raccomanda alle organizzazioni che utilizzano GMS di passare a SonicWall Network Security Manager (NSM).
CVE-2026-109593 ha un punteggio CVSS di 9.1 ed è una vulnerabilità che consente la lettura di file senza autenticazione. Un aggressore con accesso alla rete potrebbe sfruttarla per leggere file interni di GMS, esponendo potenzialmente informazioni sensibili.
La seconda vulnerabilità, CVE-2026-109594, ha un punteggio CVSS di 6.8. Si tratta di una vulnerabilità di SQL injection post-autenticazione che, in condizioni specifiche, potrebbe consentire a un aggressore autenticato di accedere alle informazioni presenti nel database GMS o modificarle.
L’avvertimento arriva dopo che SonicWall ha recentemente rilasciato una correzione per CVE-2026-102255, una vulnerabilità critica di server-side request forgery pre-autenticazione. Da allora la vulnerabilità è stata sfruttata attivamente. La telemetria di Previdian ha registrato 2.541 tentativi provenienti da otto indirizzi IP univoci a Singapore e negli Stati Uniti dal 9 ottobre 2026, compresi fino a 30 tentativi il 3 novembre.
Fonti: The Hacker News.