Neue kritische Schwachstelle in SonicWall SMA 1000 – die dritte in diesem Jahr, mit Anzeichen von Ausnutzungsversuchen nach Veröffentlichung des Patches

In Geräten der Reihe SonicWall SMA 1000 wurde eine kritische Schwachstelle entdeckt: CVE-2026-102255 – eine Server-Side Request Forgery (SSRF) ohne vorherige Authentifizierung. Dem ursprünglichen Bericht zufolge wurde der Schwachstelle ein CVSS-Score von 10.0 zugewiesen, allerdings ließ sich diese Bewertung zum Zeitpunkt der Veröffentlichung weder über den Sicherheitshinweis des Herstellers noch über die NVD unabhängig bestätigen. SonicWall hat am 6. Oktober 2026 Patches veröffentlicht, doch bereits zwei Tage später tauchten Berichte über Ausnutzungsversuche auf. Organisationen, die SMA 1000 einsetzen, müssen die Updates umgehend installieren – es handelt sich bereits um die dritte kritische Schwachstelle in dieser Produktlinie im Jahr 2026, und die vorherigen wurden von Angreifern aktiv genutzt, um in Unternehmensnetzwerke einzudringen.

Technische Details der Schwachstelle

CVE-2026-102255 gehört zur Klasse SSRF (Server-Side Request Forgery) – Fälschung serverseitiger Anfragen. Die Ausnutzung ermöglicht es einem entfernten, nicht authentifizierten Angreifer, das Gerät dazu zu bringen, Anfragen in seinem Namen auszuführen, wodurch er Zugriff auf interne Funktionen erhält und unautorisierte Aktionen durchführen kann. Dem ursprünglichen Bericht zufolge hat SonicWall den Sicherheitshinweis SNWLID-2026-0017 veröffentlicht und zwei Patches bereitgestellt:

• Version 12.4.3-03670 (platform-hotfix)
• Version 12.5.0-03082 (platform-hotfix)

Wichtig ist: Die konkreten Versionsnummern und der CVSS-Score 10.0 sind ausschließlich durch den ursprünglichen Nachrichtenbericht belegt. Es wird empfohlen, die jeweils zutreffenden Updates direkt mit dem SonicWall-Sicherheitshinweis abzugleichen.

Status der Ausnutzung

Der ursprüngliche Bericht verweist auf Daten der Unternehmen Defused Cyber und Previdian, die seit dem 8. Oktober 2026 Versuche zur Ausnutzung von CVE-2026-102255 registriert haben. Es wird von 135 Versuchen ausgegangen, die von zwei IP-Adressen ausgingen, die in den USA gehostet werden. Diese Angaben wurden jedoch bislang nicht unabhängig bestätigt: Weder SonicWall noch CISA noch große Forschungsunternehmen haben bisher eine aktive Ausnutzung bestätigt. CVE-2026-102255 ist nicht im CISA-KEV-Katalog (Known Exploited Vulnerabilities) aufgeführt – im Gegensatz zu den beiden vorherigen Schwachstellen im selben Produkt. Zum jetzigen Zeitpunkt ist es daher korrekter, von beobachteten Scan-Versuchen zu sprechen, nicht von bestätigten Kompromittierungen.

Kontext: frühere Angriffe auf SMA 1000

CVE-2026-102255 ist kein isolierter Vorfall. Bereits früher im Jahr 2026 wurden zwei weitere Schwachstellen in SonicWall SMA 1000 als Zero-Day-Schwachstellen aktiv ausgenutzt:

• CVE-2026-15409 (CVSS 10.0) – eine kritische SSRF-Schwachstelle, die einem nicht authentifizierten Angreifer ermöglicht, einen WebSocket-basierten Tunnel zu Diensten aufzubauen, die ausschließlich über localhost erreichbar sind.
• CVE-2026-15410 (CVSS 7.2) – eine Code-Injection-Schwachstelle, die die Ausführung von Befehlen mit Root-Rechten über den Mechanismus remove_hotfix erlaubt.

Beide Schwachstellen wurden vom Rapid7-MDR-Team entdeckt und am 14. Juli 2026 in den CISA-KEV-Katalog aufgenommen, mit einer Frist zur Behebung bis zum 17. Juli. Wir haben bereits früher über die Ausnutzung dieser Schwachstellen berichtet.

Nach Angaben von Rapid7 haben Angreifer nach der Kompromittierung eines Geräts über die Kette CVE-2026-15409 + CVE-2026-15410 systematisch Zugangsdaten, Datenbanken aktiver Sitzungen und Konfigurationen der TOTP-Seeds für Multi-Faktor-Authentifizierung abgegriffen. Anschließend erfolgte eine laterale Bewegung – aus dem kompromittierten Gerät heraus drangen die Angreifer direkt in das interne Unternehmensnetz ein, einschließlich auffälliger Authentifizierungen in Active Directory ohne VPN.

Dieser Kontext ist entscheidend: CVE-2026-102255 eröffnet als ebenfalls nicht authentifizierte SSRF-Schwachstelle im selben Produkt potenziell vergleichbare Angriffsvektoren. SMA-1000-Geräte haben sich bereits als vorrangige Ziele für Angreifer erwiesen, die einen verdeckten initialen Zugriff auf Unternehmensnetzwerke suchen.

Betroffene Produkte und Versionen

CVE-2026-102255 betrifft Geräte der Serie SonicWall SMA 1000. Nach Angaben von Rapid7 waren im Kontext der vorherigen Schwachstellen die Modelle SMA 6210, 7210 und 8200v betroffen. Für CVE-2026-15409 und CVE-2026-15410 waren folgende Firmware-Versionen verwundbar:

• 12.4.3-03245, 12.4.3-03387, 12.4.3-03434
• 12.5.0-02283, 12.5.0-02624, 12.5.0-02800

Die behobenen Versionen für die vorherigen Schwachstellen waren 12.4.3-03453 und 12.5.0-02835. Für CVE-2026-102255 sind neuere Versionen erforderlich: 12.4.3-03670 und 12.5.0-03082. Workarounds zur Beseitigung der Schwachstellen ohne Update sind nicht vorgesehen.

Empfehlungen

Sofortiges Update: Installieren Sie auf allen SMA-1000-Geräten die Versionen 12.4.3-03670 oder 12.5.0-03082 (oder neuer). Angesichts der bisherigen Ausnutzungsgeschichte dieser Produktlinie stellt jedes Zögern ein reales Kompromittierungsrisiko dar.

Prüfung auf Kompromittierung: Nach den Empfehlungen von Rapid7 zur vorherigen Angriffskette sollten Administratoren die folgenden Indikatoren überprüfen:

• In der Datei extraweb_access.log – Anfragen an wsproxy, die HTTP 101 zurückgeben, mit verdächtigen Host-Parametern im Stil von localhost
• In der Datei ctrl-service.log – Aufrufe des Tools remove_hotfix mit Verzeichniswechsel-Sequenzen (Directory Traversal), die auf fremde Skripte hindeuten

Diese Indikatoren wurden zur Erkennung der Ausnutzung von CVE-2026-15409 und CVE-2026-15410 entwickelt und sind nicht spezifisch für CVE-2026-102255, können aber auf eine zuvor unbemerkte Kompromittierung des Geräts hinweisen.

Maßnahmen nach der Ausnutzung: Wenn es Hinweise auf eine Kompromittierung gibt, müssen alle auf dem Gerät gespeicherten Zugangsdaten zurückgesetzt, aktive Sitzungen ungültig gemacht und TOTP-Seeds für MFA neu generiert werden – genau diese Daten wurden bei früheren Angriffen von den Angreifern abgegriffen.

Geräte der Reihe SonicWall SMA 1000 sind im Jahr 2026 bereits zum dritten Mal von kritischen Schwachstellen mit bestätigter oder vermuteter Ausnutzung betroffen. Organisationen, die diese Geräte einsetzen, sollten nicht nur den aktuellen Patch installieren, sondern auch die Logdateien der vergangenen Monate auf mögliche übersehene Kompromittierungen prüfen und zudem bewerten, ob der direkte Zugriff auf das SMA-1000-Management-Interface aus dem Internet eingeschränkt werden sollte.