Volexity identifizierte zwei SonicWall-SMA-VPN-Geräte der kompromittierten Organisation. Auf einem der Systeme fanden die Forscher zusätzliche Dateien im Verzeichnis “/tmp”, die mit Ausnutzung und Rechteausweitung in Verbindung standen. Eine davon, “/tmp/hypdate.b64”, enthielt nach Angaben von Volexity einen Exploit für CVE-2026-15410. Die Dateien gehörten einem nicht privilegierten Konto, das vom internen Datenbankdienst der Appliance verwendet wird. Für die Forscher war das ein Hinweis darauf, dass der Angreifer in diesem Kontext Dateien schreiben und wahrscheinlich auch ausführen konnte.

Auf dem zweiten Gerät fanden sich weniger Spuren, nachdem es am 2. Juli 2026 neu gestartet worden war. Laut Volexity wurden dadurch im Arbeitsspeicher befindliche Artefakte und Hintertüren entfernt.

Die Analyse von Protokollen und Systemspeicher führte außerdem zur Entdeckung von CVE-2026-15409. Volexity beschreibt die Lücke als Umgehung der Vorab-Authentifizierung über “/wsproxy”, durch die eine nicht authentifizierte externe Anfrage einen WebSocket-Tunnel zu Diensten aufbauen kann, die eigentlich nur über localhost erreichbar sind. Konkret geschieht das über eine Anfrage mit dem User-Agent “SMA Connect Agent” und einem bmID-Wert, der mit -3389 beginnt.

Dieser externe Zugriff lässt sich missbrauchen, um Methoden des Endpunkts “sysCtrl” zu erreichen. Damit eröffnet sich laut Volexity ein Weg zu tieferem Zugriff über Befehlsinjektion, Rechteausweitung und Fehler bei der Codeausführung im SMA-Kontrolldienst, also CVE-2026-15410.

Zusätzlich machte die Analyse einen weiteren Sicherheitsfehler sichtbar, mit dem sich die Authentifizierung am SMA-Kontrolldienst “ctrl-service” umgehen lässt. Das Passwort für die Basic-Authentifizierung wird aus der gerätelokalen Hardware-Kennung “/sys/class/dmi/id/product_uuid” abgeleitet. Wer diese UUID kennt, kann das benötigte Passwort bestimmen. Problematisch ist dabei, dass die Datei “product_uuid” für jedermann lesbar ist und ein nicht privilegierter Benutzer den Wert daher auslesen kann. Betroffen sind laut Bericht allerdings nur physische Geräte; virtuelle Appliances sind nicht betroffen.

Volexity betont zugleich, dass diese Authentifizierungsumgehung im beobachteten Vorfall offenbar nicht verwendet wurde. Stattdessen habe der Angreifer eine andere Schwachstelle missbraucht, um die Datei “product_uuid” auszulesen. UTA0533 wird zudem mit der Ausnutzung von CouchDB in Verbindung gebracht, einer Datenbank, die als Teil der SMA-Appliance installiert ist und über localhost erreichbar bleibt. Der genaue Ablauf ist zwar unklar, die Spuren deuten laut Volexity aber darauf hin, dass der CouchDB-Benutzer zum Lesen der “product_uuid”-Datei und letztlich zur Umgehung der Authentifizierung genutzt wurde.

Rapid7 erklärt, dass sich mit dieser Fähigkeit weniger abgesicherte Dienste auf der Appliance erreichen und ausnutzen lassen, etwa die Erlang-Anwendung auf localhost:1050 oder die Anwendung “ctrl-service” auf localhost:8188. Ein von Rapid7 veröffentlichtes Proof of Concept erreicht auf SonicWall-SMA-1000-Geräten eine Remotecodeausführung ohne Root-Rechte, indem es das auf localhost:1050 erwartete Erlang-Protokoll implementiert und über den WebSocket tunnelt, um per RPC-Aufrufen Dateien zu lesen und zu schreiben sowie beliebigen Code auszuführen.

Nach Einschätzung von Volexity kombinierte UTA0533 mehrere Zero-Day-Schwachstellen, um SonicWall-SMA-VPN-Appliances zu kompromittieren und Root-Zugriff zu erlangen. Mit Root-Rechten konnte der Akteur laut Volexity auf gespeicherte oder zwischengespeicherte Zugangsdaten zugreifen, Netzwerkverkehr erfassen und möglicherweise Zugangsdaten abfangen, die von den Appliances verarbeitet wurden. Zugleich deuten die verfügbaren Belege darauf hin, dass der Akteur bei lateralen Bewegungen oder beim Zugriff auf weitere Systeme weniger erfolgreich war.