SonicWall brengt geen updates uit voor twee ernstige kwetsbaarheden in verouderde Global Management System-versies die datalekken en databasemanipulatie mogelijk maken.
SonicWall heeft gewaarschuwd voor twee kwetsbaarheden in het End-of-Life (EoL) Global Management System (GMS), waarvoor geen patches meer worden uitgebracht. De beveiligingslekken treffen GMS 9.5.2 en eerdere versies en kunnen leiden tot het uitlekken van bestanden en het wijzigen van databasegegevens.
De eerste kwetsbaarheid, geregistreerd als CVE-2026-109593 met een CVSS-score van 9.1, betreft een onbevoegde bestandsleesfout. Hiermee kan een aanvaller met netwerktoegang interne GMS-bestanden uitlezen, wat kan leiden tot blootstelling van gevoelige informatie. De tweede kwetsbaarheid, CVE-2026-109594 (CVSS-score 6.8), is een SQL-injectie na authenticatie. Deze maakt het onder specifieke voorwaarden mogelijk voor een geauthenticeerde aanvaller om informatie in de GMS-database te benaderen of te wijzigen.
SonicWall meldt dat het product het einde van de levensduur heeft bereikt en dat er daarom geen beveiligingsupdates of oplossingen voor deze kwetsbaarheden zullen worden uitgebracht. Organisaties die nog gebruikmaken van deze systemen worden dringend geadviseerd te upgraden naar de SonicWall Network Security Manager (NSM) om de risico’s te beperken.
Deze waarschuwing volgt minder dan een maand nadat SonicWall een patch uitbracht voor een kritieke kwetsbaarheid (CVE-2026-102255, CVSS 10.0) in dezelfde productlijn. Deze pre-authenticatie server-side request forgery (SSRF) fout werd actief misbruikt, met meer dan 2.500 geregistreerde aanvalspogingen vanuit verschillende IP-adressen sinds begin oktober 2026.
