Aktive Angriffe auf SonicWall SMA 1000: Mehrere Zero-Day-Schwachstellen

Das Unternehmen SonicWall hat die aktive Ausnutzung mehrerer Schwachstellen in Geräten der Serie Secure Mobile Access (SMA) 1000 bestätigt – Unternehmens-VPN-Gateways, die den Remote-Zugriff auf Ressourcen von Organisationen bereitstellen. Betroffen sind die Modelle 6210, 7210 und 8200v. Eine der Schwachstellen weist die maximale CVSS-Bewertung von 10.0 auf und ermöglicht es einem nicht authentifizierten Angreifer, Zugriff auf kritische Funktionalität des Geräts zu erlangen. Organisationen, die diese Produkte einsetzen, müssen umgehend Updates installieren und Systeme auf Anzeichen einer Kompromittierung prüfen.

Bestätigte Schwachstellen

Laut dem offiziellen Security Advisory von SonicWall, das am 14. Juli 2026 veröffentlicht wurde, wird die aktive Ausnutzung zweier Schwachstellen bestätigt:

• CVE-2026-15409 (CVSS 10.0) – SSRF-Schwachstelle (Server-Side Request Forgery) in der Appliance Work Place-Oberfläche, die keine Authentifizierung erfordert. Sie ermöglicht es einem entfernten Angreifer, sich unautorisierten Zugriff auf sensible Funktionalitäten des Geräts zu verschaffen.
• CVE-2026-15410 (CVSS 7.2) – Schwachstelle zur Ausführung von Betriebssystembefehlen in der Appliance Management Console (AMC), die eine Authentifizierung mit Administratorrechten erfordert. Sie ermöglicht die Ausführung beliebiger OS-Kommandos.

SonicWall gibt an, mehrere Fälle aktiver Ausnutzung dieser Schwachstellen untersucht zu haben. Die Kombination aus einer prä-authentifizierten SSRF-Schwachstelle und einer post-authentifizierten Command-Injection schafft eine Angriffskette, die potenziell zur vollständigen Remote Code Execution auf dem Zielgerät führen kann.

Wichtiger Hinweis: In einigen Quellen tauchen zusätzlich die Kennungen CVE-2026-83548 und CVE-2026-83549 als separates Schwachstellenpaar für SMA 1000 auf. Zum Zeitpunkt der Erstellung dieses Artikels ließ sich der Inhalt des zugehörigen Advisories (SNWLID-2026-0016) jedoch nicht unabhängig verifizieren, und Beschreibungen sowie betroffene Versionen stimmen weitgehend mit dem bestätigten Advisory zu CVE-2026-15409/CVE-2026-15410 überein. Eine Verwechslung der Kennungen in Primärquellen ist nicht auszuschließen.

Betroffene Produkte und Versionen

Die Schwachstellen betreffen SonicWall SMA 1000-Geräte der Modelle 6210, 7210 und 8200v, die auf folgenden Firmware-Versionen basieren:

• 12.4.3-03245
• 12.4.3-03387
• 12.4.3-03434
• 12.5.0-02283
• 12.5.0-02624
• 12.5.0-02800

Bereinigte Versionen sind: 12.4.3-03453 und 12.5.0-02835 (platform-hotfix). SonicWall hebt ausdrücklich hervor, dass die Schwachstellen keinen Einfluss auf SSL-VPN auf SonicWall-Firewalls und die Produktlinie SMA 100 Series haben.

Indikatoren einer Kompromittierung

SonicWall hat konkrete Indikatoren bereitgestellt, mit denen sich feststellen lässt, ob ein Gerät kompromittiert wurde. Dem Herstellerhinweis zufolge ist zu prüfen:

• Vorhandensein von HTTP-Anfragen mit dem Antwortcode 200 an die Routen /__api__/login oder /__api__/logout in der Datei extraweb_access.log
• Auffällige host-Parameter in /wsproxy-Anfragen, die HTTP 101 zurückgeben, in denselben Logs
• Einträge zum Zurückrollen von Hotfixes mit Anzeichen von Directory Traversal (path traversal) in der Datei ctrl-service.log
• Unautorisierte Routen /__api__/login oder /__api__/logout in der Konfigurationsdatei /var/lib/unit/conf.json

Auswirkungsanalyse

SMA-1000-Geräte werden vor allem von großen und mittelständischen Organisationen eingesetzt, um sicheren Remote-Zugriff der Mitarbeitenden auf Unternehmensressourcen bereitzustellen. Die Kompromittierung eines solchen Geräts verschafft einem Angreifer eine Position am Netzperimeter mit der Möglichkeit, Zugangsdaten abzugreifen, Angriffe weiter in die Infrastruktur zu treiben und auf interne Systeme zuzugreifen.

Die maximale CVSS-Bewertung von 10.0 für die prä-authentifizierte Schwachstelle bedeutet, dass für den Beginn eines Angriffs weder Zugangsdaten noch Benutzerinteraktion erforderlich sind. Die bestätigte aktive Ausnutzung macht diese Bedrohung zu einer Priorität für sofortige Reaktionsmaßnahmen.

Empfehlungen zum Schutz

SonicWall empfiehlt folgende Abfolge von Maßnahmen:

1. Unverzügliches Update der Firmware auf die bereinigten Versionen 12.4.3-03453 oder 12.5.0-02835 (platform-hotfix).
2. Prüfung des Geräts auf die oben genannten Indikatoren einer Kompromittierung – Analyse der Dateien extraweb_access.log, ctrl-service.log sowie der Konfiguration /var/lib/unit/conf.json.
3. Beim Feststellen von Kompromittierungsanzeichen:
   • Vollständiges Neuaufsetzen des Images (re-image) oder erneutes Deployment des Geräts
   • Änderung aller Benutzer- und Administratorpasswörter
   • Zurücksetzen aller TOTP-Tokens (Time-based One-Time Password)

Die interne Entdeckung der Schwachstellen wird dem SonicWall-Forscher Adam Babis zugeschrieben, und bei der weiteren Untersuchung waren die Spezialisten von Volexity – Sean Koessel und Steven Adair – beteiligt.

Angesichts der bestätigten aktiven Ausnutzung und der kritischen CVSS-Bewertung von 10.0 sollten Administratoren von SMA-1000-Geräten die Installation der Updates als Aufgabe mit höchster Priorität betrachten – im Zeitrahmen von Stunden, nicht Tagen. Selbst nach dem Update ist eine vollständige Prüfung auf Kompromittierungsindikatoren erforderlich: Wurde ein Gerät bereits vor Installation des Patches kompromittiert, reicht ein Firmware-Update allein nicht aus, um die Folgen zu beseitigen.