SonicWalls nuldagsproblem: Hvad små virksomheder har brug for at vide om INC-ransomware

18. august 2026 | Blog

Forfatter: Craig Taylor

Jeg kan ikke besøge en café, spille en runde golf, have en venlig samtale med en gammel ven uden at AI dukker op. Hvad gør det ved dit liv, dit job, din virksomhed? Alt synes at fokusere på AI. Frontier-modeller og AI's indflydelse på vores daglige liv. AI-centre i SonicWall Zero-Day-artiklen nedenfor er forrest og i midten, fordi, ja, disse zero days højst sandsynligt blev opdaget af en frontier-model, gjort til et våben af en frontier-model med et proof of concept og derefter afbødet af programrettelser kodet af en frontier AI-model.

Frontier AI-modeller undersøger nu systematisk al online software, herunder firewalls og netværksenheder, for sårbarheder. De tester med en hastighed og dybde, som intet menneskeligt team nogensinde har matchet. I de seneste seks måneder har store firewallleverandører udgivet 10 til 25 gange flere programrettelser end i nogen tidligere periode. Bug bounty-programmer hos nogle leverandører er sat på pause, fordi indsendelser overstiger gennemgangskapaciteten. Udviklingsteams er overvældet af rettelser, der skal testes og implementeres. Five Eyes-alliancen udsendte en fælles meddelelse i juni 2026, der advarede om, at organisationer har måneder til at forberede sig, ikke år. To nylige zero-day-sårbarheder i SonicWall-firewalls er ikke en isoleret begivenhed. De repræsenterer et mønster, der nu påvirker alle leverandører med internetvendte produkter.

Artiklen nedenfor dækker en enkelt leverandør, men dette gælder for alle leverandører, du bruger. Deres bug bounty-programmer er sat på pause, fordi de ikke kan følge med i antallet af indsendelser. Deres udviklere er overvældede af fejlrettelser, der skal testes og implementeres. Tingene bliver varmere, og alle er på dæk ... tiden til at forberede og lukke lugerne er nu. Vent ikke, til det er for sent.

Hvad skete der med SonicWall

Forskere inden for sikkerhed inden for AI fandt to sårbarheder i SonicWalls firewalls, sporet som CVE-2026-15409 og CVE-2026-15410. Angribere udnyttede begge fejl i omkring tre uger, før SonicWall udgav en patch den 14. juli. I løbet af disse tre uger kædede hackere de to sårbarheder sammen for at få fuld adgang til berørte enheder, stjæle data og låse netværk ned med ransomware.

Hvem står bag det

En ransomware-gruppe ved navn INC viste sig at være den mest aktive angriber, der udnyttede disse fejl, efter at programrettelsen kom ud. INC har drevet en ransomware-for-hire-virksomhed siden 2023 og har krævet næsten 900 ofre i 71 lande. Sikkerhedsfirmaet Rapid7 sporede gruppens aktivitet og fandt ud af, at INC gik fra at bryde ind til at implementere ransomware hurtigere end tidligere angribere, der testede de samme sårbarheder før offentliggørelsen.

Rapid7 sagde, at de stoppede datatyveri og kryptering i de seneste tilfælde, de reagerede på, selvom ransomware blev implementeret med succes i mindst én hændelse. Et andet firma, Resecurity, fandt INC listede nye ofre fra Australien, USA, De Forenede Arabiske Emirater, Colombia og Schweiz på deres dark web-lækageside. Nogle ofre modtog opkald og e-mails fra folk, der pressede dem til at betale.

Hvorfor dette er vigtigt for din virksomhed

Dette er ikke det første sikkerhedsproblem, der er knyttet til SonicWall-enheder. Ti af de sytten SonicWall-sårbarheder, der er føjet til den føderale regerings liste over kendte udnyttede sårbarheder siden 2021, knytter sig til ransomware-kampagner. Alene i sidste uge opdagede forskere en angrebsbølge, der ramte 30 SonicWall-kunder på to dage ved hjælp af stjålne loginoplysninger.

Hvis din virksomhed bruger en SonicWall-firewall eller en anden internetbaseret sikkerhedsenhed, gælder dette mønster også for dig. Angribere går efter populær, bredt anvendt hardware, fordi én fungerende angreb påvirker tusindvis af organisationer, der bruger det samme udstyr.

Praktiske tips til implementering i dag

Programrettelse hurtigereMed SonicWall 7.1.1 eller nyere kan du aktivere automatiske firmwareopdateringer i faste tidsplaner. Aktiver dette hver nat mellem kl. 1 og 2 om natten. I betragtning af antallet af angreb efter patch-udgivelser er dette en fornuftig foranstaltning.
Reducer angrebsfladenGennemgå de porte og protokoller, du tillader indgående forbindelser gennem din firewall. Vær opmærksom på VPN-trafik eller andre engangsløsninger. Hvis du simpelthen bare skal tunnelere SSH igennem, så begræns det til specifikke online IP-adresser i stedet for ENHVER IP-adresse.
Identificer eventuelle tegn på indtrængenTjek dine logfiler for usædvanlig aktivitet, der går tilbage til slutningen af juni. Kig efter loginforsøg, konfigurationsændringer eller trafik, du ikke genkender.
Proaktivt skift administratoradgangskoder og nulstil legitimationsoplysninger knyttet til din firewall og VPN, især hvis du ikke har roteret dem for nylig.
Bekræft, at multifaktorgodkendelse er aktiveret for al fjernadgang (der er ikke givet nogen undtagelser). Denne ene vane stopper de fleste indbrud baseret på legitimationsoplysninger, før de starter.

Ingen af disse trin kræver et stort budget eller et dedikeret sikkerhedsteam. Et par fokuserede timer beskytter din virksomhed mod at blive det næste navn på en lækageside.

CyberHoot-konklusionen

Firewalls fejler nogle gange, og når de gør, kan det være en stor ting. Leverandører opdaterer data hurtigere i dag end nogensinde før. Angribere tilpasser sig og angriber også hurtigere. Lige da vi ikke troede, at tingene kunne blive hurtigere, gør de det. At aktivere daglige firmwareopdateringer lyder måske risikabelt, men spørgsmålet er: Er et sjældent udfald fra en mislykket firmwareinstallation bedre end et brud?

Dit næste træk

Sæt en time af i dag til at gennemgå din firewalls opsætning. Aktiver automatiserede vinduer til firmwareopdateringer (dagligt hvis muligt). Luk unødvendige porte, bekræft MFA på alle fjernadgangsløsninger, reducer data på dit interne netværk, og implementer en honeypot.

Videresend denne artikel til den person, der håndterer IT i din virksomhed, selvom det er dig. Et par proaktive foranstaltninger i dag vil give dig ro i sindet, en bedre chance mod de angrebshastigheder, vi ser i dag, og nogle forsvarlige proaktive foranstaltninger, du kan dele med den øverste ledelse i lyset af den voksende bekymring omkring AI-frontiermodelangreb. Åh, og husk altid at Hoot Up!

kilder:

Ofte stillede spørgsmål

Hvilke Sonicwall-sårbarheder (CVE-2026-15409 og CVE-2026-15410) blev annonceret for nylig? Det er to zero-day-sårbarheder, der påvirker SonicWall-firewalls, og som blev udnyttet i naturen i omkring tre uger, før SonicWall afslørede og opdaterede dem den 14. juli 2026. Angribere har kædet de to fejl sammen for at få fuld adgang til berørte enheder.

Hvem står bag angrebene? Flere aktører undersøgte fejlene, før de blev offentliggjort, men INC ransomware, en ransomware-as-a-service-gruppe, der har været aktiv siden 2023, er blevet den mest fremtrædende og effektive angriber, der udnytter sårbarhedskæden siden afsløringen.

Hvor mange organisationer er blevet berørt? Det nøjagtige antal er ukendt. Rapid7 har reageret på adskillige hændelser og forhindret datatyveri eller kryptering i de fleste af dem, men forskere siger, at det fulde omfang sandsynligvis rækker langt ud over, hvad en enkelt sikkerhedsleverandør kan se. INC har listet nye ofre på tværs af flere lande på sin lækageside.

Er det første gang, at SonicWall har oplevet denne type problem? Nej. SonicWall har i de senere år haft en række sikkerhedsproblemer, herunder andre aktivt udnyttede zero-day-angreb, en masseangrebsbølge baseret på legitimationsoplysninger, der ramte 30 kunder på to dage, og en tidligere hændelse, hvor angribere stjal firewallkonfigurationsfiler fra alle SonicWall-kunder.

Hvad skal SonicWall-kunder gøre nu? Installer de tilgængelige programrettelser med det samme, gennemgå logfiler for mistænkelig aktivitet helt tilbage til slutningen af juni, roter alle legitimationsoplysninger, der er knyttet til berørte enheder, og overvåg nøje internetvendte SonicWall-enheder for usædvanlig adfærd.