Desteği biten SonicWall GMS'te giriş gerektirmeyen dosya okuma açığı, düzeltme gelmeyecek

SonicWall, 3 Kasım’da yayımladığı SNWLID-2026-0019 numaralı danışma notunda, Global Management System’in (GMS) 9.5.2 ve önceki sürümlerini etkileyen iki açığı duyurdu. Açıklar GMS’in sanal cihaz (Virtual Appliance) ve Windows sürümlerini etkiliyor. SonicWall’a göre ürünün desteği sona erdiği (End-of-Life) için bu açıklar için bir düzeltme ya da güvenlik güncellemesi yayımlanmayacak.

Açıklar

• CVE-2026-109593 (CVSS 3.1: 9.1, kritik): SonicWall’a göre GMS’e ağ erişimi olan ve giriş yapmamış bir saldırgan, GMS’in iç dosyalarını okuyabilir ve bu yolla hassas bilgiler açığa çıkabilir. Açığın CWE sınıfı CWE-636, yani bir hata durumunda güvenli biçimde kapanmak yerine açık kalma (failing open). Puanlamaya göre açık ağ üzerinden, giriş gerektirmeden ve kullanıcı etkileşimi olmadan istismar edilebiliyor, gizliliği ve erişilebilirliği yüksek düzeyde etkiliyor.
• CVE-2026-109594 (CVSS 3.1: 6.8, orta): SonicWall’a göre giriş yapmış bir saldırgan, belirli koşullarda bir SQL injection açığıyla GMS veritabanındaki bilgilere erişebilir ya da bunları değiştirebilir. Puanlamaya göre istismarı için yüksek yetki gerekiyor.

SonicWall’a göre iki açığı da Pentest-Tools.com’dan Matei Badanoiu bildirdi, ikinci açığın bildiriminde Andrei Lungu da yer aldı. SonicWall’ın danışma notunda açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Önerilen önlemler

SonicWall danışma notunda bir geçici önlem (workaround) vermiyor. Şirket, ürünün desteği sona erdiği için GMS kullanan kurumların bu güvenlik risklerinin farkında olmasını ve Network Security Manager’a (NSM) geçmesini kesinlikle öneriyor.