SonicWall SMA1000-lekken worden nu actief misbruikt

Wat CISA op 2 september aan de KEV-catalogus toevoegde

De Amerikaanse cyberveiligheidsdienst CISA voegde op 2 september 2026 zeven actief misbruikte kwetsbaarheden toe aan haar Known Exploited Vulnerabilities-catalogus.

CISA's advies noemde de getroffen producten met naam: SonicWall SMA1000, Sangoma Switchvox, Starlette, Kestra OSS, BerriAI LiteLLM en JFrog Artifactory. Elke vermelding betekent dat CISA daadwerkelijk misbruik heeft bevestigd, geen theoretisch risico dat alleen door onderzoekers werd gesignaleerd.

Waarom de SonicWall-lekken als eerste uw aandacht verdienen

Twee van de zeven kwetsbaarheden treffen SonicWalls SMA1000, een VPN-apparaat voor externe toegang dat bij veel organisaties aan de netwerkrand staat.

CVE-2026-83548 is een server-side request forgery-lek (SSRF), en CVE-2026-83549 is een besturingssysteem-commando-injectie; beide stellen een aanvaller die de beheerinterface van het apparaat bereikt in staat om tegen de interne systemen erachter op te treden. SMA1000 is wijdverbreid bij kleine en middelgrote Europese bedrijven als toegangspoort voor personeel op afstand, vaak beheerd door kleine IT-teams zonder eigen security operations center dat het apparaat rond de klok in de gaten houdt.

De volledige lijst: zeven CVE's, zeven producten

CISA's advies noemde zeven afzonderlijke kwetsbaarheden in zeven verschillende producten, en onderstaande tabel vermeldt elk daarvan met het bijbehorende type.

Alle zeven delen een eigenschap die zwaarder weegt dan hun individuele ernstscore: CISA stelt dat elk lek is waargenomen onder actief misbruik, en niet alleen is aangetoond als misbruikbaar in een laboratorium.

Geen wettelijke deadline voor EU-bedrijven - en dat is precies het punt

CISA's bindende richtlijn BOD 26-04 stelt een hersteldeadline vast die alleen geldt voor civiele Amerikaanse federale overheidsdiensten, niet voor Europese bedrijven.

Een EU-bedrijf met SonicWall SMA1000 heeft evenmin een NIS2-trigger die specifiek aan deze KEV-toevoeging gekoppeld is, dus geen enkele wet dwingt een patchcyclus af. Precies dat gat maakt de KEV-catalogus toch de moeite waard om te lezen: de aanduiding is een bevestigd misbruiksignaal dat beveiligingsteams wereldwijd volgen, ongeacht welk rechtsgebied er een deadline aan koppelt, en aanvallers controleren niet welke regelgeving geldt voordat ze op een blootgesteld apparaat scannen.

Wat er maandagochtend echt moet gebeuren

Een IT-team dat SonicWall SMA1000 gebruikt voor externe toegang moet dat apparaat deze week als eerste tegen CISA's advies controleren.

Drie stappen op volgorde: nagaan of SMA1000 ergens in de omgeving wordt gebruikt, ook instanties die een extern team zonder medeweten van de centrale IT-afdeling heeft opgezet; SonicWalls patch voor beide CVE's meteen toepassen, of de beheerinterface van het openbare internet halen als een patch vandaag niet mogelijk is; en de toegangslogs van het apparaat nakijken op tekenen dat de twee lekken al voor de patch werden gebruikt. Dat er geen wettelijke plicht tot patchen bestaat, doet niets af aan het risico dat het apparaat wordt gecompromitteerd.

LiteLLM: het lek dat verder reikt dan VPN-apparaten

CVE-2026-59822 treft LiteLLM van BerriAI, een authenticatie-omzeilingslek in software die als zelfgehoste gateway voor grote taalmodellen fungeert.

LiteLLM is een steeds gangbaarder onderdeel van de Europese bedrijfs-AI-infrastructuur, gebruikt om LLM-aanroepen binnen de eigen applicaties van een bedrijf te routeren, te loggen en van toegangscontrole te voorzien. Een team dat een zelfgehoste LLM-gateway beheert, moet nagaan of LiteLLM deel uitmaakt van die stack en het met dezelfde urgentie patchen als de SonicWall-lekken, want een authenticatie-omzeiling op een gateway voor interne AI-tooling is precies het soort toegang waar aanvallers nu naar op zoek zijn.

Lees hierna: De Bug Brak Precies Wat Patchen Nodig Heeft  |  Bugs uit 2014 openen nog deuren voor Chinese aannemer