SonicWallは、SMA1000シリーズVPNデバイスで二つの零日脆弱性（CVE-2026-15409、CVE-2026-15410）を悪用した攻撃を確認した。これらの脆弱性はサーバーサイドリクエストフォージェリ（SSRF）とコマンドインジェクションの欠陥であり、6210、7210、8200vモデルに影響を与える。攻撃者はまずSSRFを悪用してデバイスの内部サービスにアクセスし、その後コマンドインジェクションでルート権限を獲得した。

インシデント対応企業Volexityは攻撃チェーンを分析し、攻撃グループをUTA0533と特定した。攻撃者はデバイスのproduct_uuid値を取得した後、KNUCKLEBALLと呼ばれるマルウェアドロッパーを配置した。このツールは、Sou5とORANGETAILという二つのJavaベースのマルウェアファミリーを展開した。Sou5はデバイスを通じて隠蔽されたデータ転送を実行し、ORANGETAILはWebシェルとして機能してリモートコマンド実行を可能にした。

攻撃者はnginx設定を変更してORANGETAILへの外部アクセスを開放し、ROOTRUNと呼ばれる特権昇格ツールも導入した。Volexityは攻撃の技術的複雑さを指摘しつつ、内部ネットワークへの拡散成功率は低かったと評価した。SonicWallは、12.4.3-03453および12.5.0-02835バージョンでパッチを公開し、ユーザーに即時更新を呼びかけた。