SonicWall, kullanım ömrü sona eren Global Management System (GMS) sürümlerinde iki güvenlik açığı bulunduğunu ve bu açıklar için yama yayımlanmayacağını açıkladı. Etkilenen ürünler arasında SonicWall GMS 9.5.2 ve daha eski sürümler yer alıyor.
Şirketin duyurusuna göre birinci açık CVE-2026-109593 olarak izleniyor ve 9.1 CVSS puanına sahip. Bu hata, kimlik doğrulaması gerektirmeyen bir dosya okuma zaafı oluşturuyor; ağa erişebilen bir saldırganın dahili GMS dosyalarını okumasına ve hassas bilgilere ulaşmasına imkan verebiliyor. İkinci açık CVE-2026-109594 ise 6.8 CVSS puanıyla değerlendirilen, kimlik doğrulama sonrasında tetiklenen bir SQL enjeksiyonu. Bu zafiyet de belirli koşullar altında GMS veritabanındaki bilgilerin erişilmesine ya da değiştirilmesine kapı aralayabiliyor.
Destek dışı ürünlerde düzeltme yok
SonicWall, salı günü yaptığı uyarıda etkilenen ürünün kullanım ömrünü tamamladığını belirtti. Bu nedenle güvenlik güncellemesi ya da başka bir düzeltme yayımlanmayacağını duyurdu. Şirket, GMS kullanan kurumların riskin farkında olması gerektiğini ve SonicWall Network Security Manager (NSM) sürümüne geçişin güçlü biçimde tavsiye edildiğini aktardı.
GMS’e ilişkin bu uyarı, SonicWall’un bir ay dolmadan önce başka bir kritik açığı kapatmasının ardından geldi. O gün yayımlanan yamalar, CVE-2026-102255 kodlu ve 10.0 CVSS puanlı kritik bir pre-authenticated SSRF açığını hedefliyordu. Bu hata, saldırganın cihazı kendi adına istek göndermeye zorlayarak dahili işlevlere ulaşmasına ve yetkisiz işlemler yapmasına imkan tanıyabiliyordu. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-102255
Previdian’ın telemetri verileri, bu SSRF açığına yönelik istismarın sahada da görüldüğünü ortaya koydu. Sensörler 9 Ekim 2026’dan bu yana 2.541 saldırı girişimi kaydetti; trafik sekiz farklı IP adresinden ve Singapur ile ABD kaynaklı olarak izlendi. 3 Kasım 2026’da tek başına 30 girişim raporlandı.
SonicWall’un GMS ürün hattı için açıkladığı iki yeni açıkta ise şu aşamada yama planı bulunmuyor. Şirketin yönlendirmesi, destek dışı yazılımı kullanan kurumların NSM’ye geçmesi yönünde oldu.
CVE kayıtları: CVE-2026-109593, CVE-2026-109594
Hangi açıklar etkilendi
CVE-2026-109593, ağ erişimi olan saldırganın oturum açmadan iç dosyaları okumasına izin verebilen bir dosya okuma açığı olarak tanımlandı. CVE-2026-109594 ise doğrulama sonrası SQL enjeksiyonu olarak sınıflandırıldı ve uygun koşullarda veritabanı içeriğini değiştirme riski taşıyor.