Zero-Day VPN 2026: SonicWall SMA1000 dan Palo Alto GlobalProtect

Zero-day VPN 2026 kembali menyorot perangkat akses jarak jauh, terutama SonicWall SMA1000 yang dieksploitasi dua kali pada Juli dan September 2026, serta celah autentikasi GlobalProtect milik Palo Alto Networks. Semua perangkat ini berada di tepi jaringan dan bisa dijangkau dari internet, sehingga satu celah dapat menjadi pintu masuk ke jaringan internal.

Ringkasan Celah SonicWall SMA1000 dan GlobalProtect

• SonicWall SMA1000, gelombang Juli 2026: CVE-2026-15409 (SSRF pra-autentikasi pada antarmuka Work Place, CVSS 3.1 10.0 menurut penilaian CISA pada catatan CVE) dan CVE-2026-15410 (code injection pada Appliance Management Console yang memerlukan akses administrator), advisori SNWLID-2026-0008. Masuk CISA KEV pada 14 Juli 2026.
• SonicWall SMA1000, gelombang September 2026: CVE-2026-83548 (SSRF pra-autentikasi pada antarmuka Work Place, CVSS 3.1 10.0 menurut penilaian CISA pada catatan CVE, angka yang juga dikutip Rapid7) dan CVE-2026-83549 (OS command injection pada Appliance Management Console). Advisori SNWLID-2026-0016, masuk KEV pada 2 September 2026.
• Model dan versi terdampak: menurut Rapid7, gelombang September menyasar SMA1000 6210, 7210, dan 8200v dengan build 12.4.3-03453 dan sebelumnya, serta 12.5.0-02835 dan sebelumnya. Perbaikan: platform hotfix 12.4.3-03526 atau lebih baru, 12.5.0-02952 atau lebih baru. Catatan CVE gelombang Juli menyebut rentang 12.4.3-03245 sampai sebelum 12.4.3-03434 dan 12.5.0-02283 sampai sebelum 12.5.0-02800.
• Palo Alto PAN-OS dan Prisma Access: CVE-2026-0257, bypass autentikasi GlobalProtect. Skor awal CVSS v4 4,7 (Medium), dinaikkan Palo Alto Networks menjadi 7,8 (High) pada 29 Mei 2026. Masuk KEV pada 29 Mei 2026, dan katalog KEV kini menandainya diketahui dipakai dalam kampanye ransomware.
• Status eksploitasi: ketiga kelompok celah sudah dieksploitasi di dunia nyata. Kedua gelombang SMA1000 dieksploitasi sebelum diungkap publik, sedangkan eksploitasi GlobalProtect terlihat empat hari setelah advisori terbit.

Apa yang Terjadi pada SonicWall SMA1000

SMA1000 adalah gateway akses jarak jauh yang dipakai organisasi agar karyawan dapat menjangkau aplikasi internal. Pada pertengahan Juli 2026 SonicWall merilis hotfix untuk dua celah, dan CISA memasukkan keduanya ke KEV pada 14 Juli. Menurut BleepingComputer, Volexity melaporkan bahwa kelompok yang dilacak sebagai UTA0533 mulai memanfaatkan celah ini sejak 22 Juni 2026, berminggu-minggu sebelum disclosure, dan menanam beberapa malware di perangkat yang rentan, antara lain KNUCKLEBALL dan ROOTRUN. CISA kemudian menandai kedua celah sebagai dipakai dalam kampanye ransomware, sementara Resecurity mengaitkan serangan dengan afiliasi ransomware INC. Kaitan dengan INC adalah klaim Resecurity, bukan pernyataan CISA atau SonicWall.

Pada 1 September 2026 SonicWall menerbitkan pasangan celah baru. CVE-2026-83548 memungkinkan akses ke fungsi sensitif tanpa autentikasi melalui jalur akses alternatif, sedangkan CVE-2026-83549 pada Appliance Management Console hanya bisa dipakai oleh administrator terautentikasi jika berdiri sendiri. Namun keduanya dapat dirangkai sehingga menjadi eksekusi perintah tanpa autentikasi. Menurut Rapid7, SonicWall mengonfirmasi eksploitasi aktif keduanya dan eksploitasi sudah terjadi sebelum pengungkapan publik. CISA memasukkan keduanya ke KEV pada 2 September 2026.

Celah GlobalProtect CVE-2026-0257

Palo Alto Networks menerbitkan advisori CVE-2026-0257 pada 13 Mei 2026. Celah ini hanya berlaku bila fitur authentication override aktif pada portal atau gateway GlobalProtect, dan sertifikat yang dipakai untuk mengenkripsi cookie override juga dipakai bersama fungsi lain, misalnya layanan HTTPS. Fitur ini tidak aktif secara default. Pada konfigurasi tersebut, penyerang jarak jauh tanpa autentikasi dapat membangun koneksi VPN.

Rapid7 MDR mengamati eksploitasi sejak 17 Mei 2026 dan gelombang kedua pada 21 Mei. Pada gelombang kedua penyerang memperoleh alamat IP VPN, yang berarti akses ke jaringan internal, meski pada 8 dari 10 pelanggan terdampak cookie palsu diterima tanpa sesi VPN penuh. Rapid7 tidak menemukan indikasi pergerakan lateral yang berhasil dari perangkat yang terdampak. Karena skor awalnya hanya Medium, banyak tim mungkin menunda patch. Rapid7 mendorong pelanggan memperlakukannya sebagai celah kritis, dan Palo Alto menaikkan skornya pada 29 Mei, setelah eksploitasi terlihat. Pelajarannya: skor awal bukan batas prioritas, status eksploitasi yang menentukan. Pelajari cara membacanya di artikel kami tentang level kerentanan dan skor CVSS.

Siapa yang Terdampak dan Mengapa Penting

Organisasi yang memakai SMA1000 atau GlobalProtect dengan konfigurasi di atas terdampak, termasuk perusahaan dan instansi di Indonesia yang membuka akses VPN untuk pegawai dan vendor. Perangkat tepi memiliki hak akses tinggi, sering kali tidak dipantau oleh EDR, dan bisa diserang dari internet tanpa interaksi pengguna. Pola ini dibahas lebih luas di keamanan perangkat edge. Menurut BleepingComputer pada 10 Agustus 2026 yang mengutip Shadowserver, ada lebih dari 380 appliance SMA1000 yang terpapar internet, sebagian mungkin sudah diamankan. Angka ini adalah paparan, bukan jumlah perangkat yang dibobol.

Cara Mengecek Paparan dan Mitigasi Zero-Day VPN

Urutan kerja yang disarankan, berlaku untuk SonicWall SMA1000 maupun GlobalProtect:

1. Inventarisasi. Pastikan model, versi build, dan apakah antarmuka Work Place atau portal GlobalProtect terbuka ke internet.
2. Patch. Pasang hotfix SonicWall 12.4.3-03526 atau 12.5.0-02952 (atau lebih baru), dan rilis PAN-OS atau Prisma Access yang tercantum pada advisori CVE-2026-0257.
3. Workaround GlobalProtect. Bila belum bisa patch, nonaktifkan authentication override atau buat sertifikat baru yang hanya dipakai untuk authentication override.
4. Anggap mungkin sudah dibobol. Eksploitasi SMA1000 terjadi sebelum disclosure, jadi patch saja tidak cukup. Rapid7 menyarankan menghubungi SonicWall Technical Support untuk meninjau perangkat dari indikator kompromi.
5. Bila terbukti dibobol. Pasang ulang appliance fisik atau redeploy appliance virtual, ganti semua kata sandi pengguna dan administrator, dan reset token TOTP.
6. Pemantauan. Pantau autentikasi berbasis cookie GlobalProtect ke akun admin lokal, login VPN dari penyedia hosting yang tidak biasa, dan konfigurasi yang tiba-tiba mengaktifkan cookie authentication override. Indikator rinci tersedia di publikasi Rapid7 dan advisori vendor.

Prioritaskan perangkat yang masuk daftar CISA KEV, karena itu bukti eksploitasi nyata. Bila Anda ingin menilai apakah akses jarak jauh organisasi Anda terlindungi, tim kami menyediakan asesmen keamanan dan penetration test yang dilakukan dengan izin tertulis.

Linimasa Singkat

• 13 Mei 2026: advisori CVE-2026-0257. Eksploitasi terlihat sejak 17 Mei, KEV dan kenaikan skor pada 29 Mei.
• 22 Juni 2026: eksploitasi SMA1000 paling awal yang diketahui menurut Volexity.
• Pertengahan Juli 2026: hotfix SNWLID-2026-0008. KEV pada 14 Juli.
• 1 September 2026: advisori SNWLID-2026-0016. KEV pada 2 September.

Baca juga: Zero-Day Google Chrome 2026 dan Cara Memastikan Browser Selalu Aman.

Pertanyaan yang Sering Diajukan

Apakah patch saja sudah cukup untuk SMA1000?

Belum. Kedua gelombang dieksploitasi sebelum diungkap publik, jadi perangkat bisa sudah disusupi sebelum Anda memasang hotfix. Lakukan pemeriksaan kompromi dan, bila perlu, pasang ulang perangkat.

Apakah semua pengguna GlobalProtect terdampak CVE-2026-0257?

Tidak. Hanya konfigurasi dengan authentication override aktif dan sertifikat cookie yang dipakai bersama layanan lain. Tetap periksa konfigurasi Anda dan pasang versi perbaikan.

Mengapa skor CVSS berubah?

Skor dasar menilai kondisi teknis, sedangkan eksploitasi nyata mengubah gambaran risikonya. Palo Alto menaikkan skor CVSS v4 dari 4,7 menjadi 7,8 pada 29 Mei 2026, setelah serangan terlihat. Lihat juga penjelasan kerentanan zero-day.

Kesimpulan

Per 29 Oktober 2026, celah SonicWall SMA1000 dan GlobalProtect menunjukkan bahwa gerbang VPN adalah target bernilai tinggi dan sering dieksploitasi sebelum patch tersedia. Inventarisasi perangkat, patch cepat, cek kompromi, dan batasi paparan internet. Untuk membangun kemampuan tim Anda dalam menangani insiden semacam ini, Linuxhackingid siap membantu lewat pelatihan dan asesmen keamanan yang dapat disesuaikan.