CISAは、SonicWall SMA1000機器の2つの脆弱性（CVE-2026-15409とCVE-2026-15410）がランサムウェアグループによって悪用されていることを確認した。これらの機器は、大企業、政府機関、マネージドサービスプロバイダー（MSSP）がVPNアクセスを提供するために使用している。SonicWallは7月中旬にこれらの脆弱性に対するパッチを提供し、ユーザーにできるだけ早く更新するよう呼びかけた。

これらの脆弱性は、6月にUTA0533と呼ばれる脅威アクターによって悪用され、KNUCKLEBALL、Sou5、ROOTRUN、ORANGETAILと呼ばれるカスタムソフトウェアが配布される原因となった。Shadowserverは、現在でも380以上のSMA1000機器がインターネット上で公開されていることを確認している。

CISAはこれらの脆弱性をKEVカタログに追加し、連邦民間行政部門（FCEB）の機関に3日以内にシステムをパッチ適用するよう命令した。SonicWallはこれらの脆弱性がランサムウェア攻撃で使用されたことをまだ確認していないが、CISAはKEVカタログの更新でこれらの脆弱性がランサムウェアグループによって使用されていると指摘した。