A SonicWall divulgou o advisory SNWLID-2026-0019 informando que não fornecerá correções para duas vulnerabilidades identificadas no Global Management System (GMS). O produto alcançou o status de end-of-life (EoL) em 30 de setembro de 2026, e a empresa recomenda a migração para o SonicWall Network Security Manager (NSM).
Produtos e versões afetadas
As falhas impactam o SonicWall GMS nas versões 9.5.2 e anteriores, incluindo as edições Virtual Appliance e Windows. O anúncio de EoL ocorreu em maio de 2025, com término de pedidos em outubro de 2025 e fim do suporte em setembro de 2026.
Gravidade e impacto
CVE-2026-109593
CVSS 9.1. Permite leitura não autenticada de arquivos internos do GMS por meio de acesso de rede, expondo potencialmente informações sensíveis. Classificada como CWE-636.
CVE-2026-109594
CVSS 6.8. Vulnerabilidade de SQL injection pós-autenticação que pode permitir a um usuário autenticado acessar ou modificar registros no banco de dados do GMS. Classificada como CWE-89.
Condições de exploração
A CVE-2026-109593 exige apenas acesso de rede e não requer autenticação. A CVE-2026-109594 demanda autenticação prévia e condições específicas de execução. Até o momento da divulgação, não há relatos de exploração ativa nem código público de exploit disponível.
Mitigação e correção
Não existe correção ou workaround disponível, conforme declarado no advisory oficial. A SonicWall orienta explicitamente as organizações a migrarem para o SonicWall Network Security Manager (NSM) para evitar os riscos de segurança associados.
Validação da exposição
Administradores devem verificar a versão instalada do GMS e confirmar se o ambiente ainda está em operação. Registros no NVD marcam as CVEs como “Unsupported When Assigned”. A exposição pode ser validada por meio de scans de rede e análise de logs de acesso ao sistema.
About The Author
