SonicWall hat Kunden davor gewarnt, dass Angreifer zwei SonicWall-SMA1000-Zero-Days aktiv in einer Angriffskette ausnutzen, die eine Remote-Code-Ausführung auf anfälligen Geräten ermöglichen kann.
Das Unternehmen fordert Organisationen dazu auf, den neuesten Hotfix sofort zu installieren und alle Anzeichen einer Kompromittierung zu untersuchen.
Zwei Schwachstellen ermöglichen die Befehlsausführung
Die Angriffskette umfasst CVE-2026-83548, eine Schwachstelle für Befehlsinjektionen mit maximaler Schwere im Interface SMA1000 Appliance WorkPlace.
SonicWall teilte mit, dass die Schwäche auf ein Problem mit Server-Side Request Forgery, SSRF, zurückgeht. Angreifer können sie zusammen mit CVE-2026-83549 nutzen, einer weiteren Schwachstelle für Befehlsinjektionen in der SMA1000 Appliance Management Console.
Die zweite Schwachstelle erfordert Administratorrechte, ermöglicht Angreifern jedoch, beliebige Betriebssystembefehle auf betroffenen Geräten auszuführen.
Das Produktsicherheitsteam von SonicWall erklärte, es habe einen Fall untersucht, der auf eine aktive Ausnutzung der Schwachstellen hindeutet.
SMA1000-Geräte erfordern dringend Patches
Die SonicWall-SMA1000-Zero-Days betreffen die Modelle SMA1000 6210, 7210 und 8200v.
Sie betreffen weder SSL-VPN-Dienste, die auf SonicWall-Firewalls laufen, noch die Produktreihe SMA 100 Series.
Shadowserver verfolgt derzeit mehr als 400 SMA1000-Geräte, die im Internet erreichbar sind. Einige haben den Hotfix möglicherweise bereits erhalten, doch internetexponierte Geräte bleiben besonders attraktive Ziele.
SonicWall empfiehlt Kunden, sowohl physische als auch virtuelle SMA1000-Geräte so schnell wie möglich auf die neueste Hotfix-Version zu aktualisieren.
Organisationen sollten auf Kompromittierungen prüfen
Wenn Administratoren Indikatoren für eine Kompromittierung finden, empfiehlt SonicWall, das betroffene Gerät neu zu installieren, alle Administrator- und Benutzerpasswörter zu ändern und zeitbasierte Einmalpasswort-Token zurückzusetzen.
Das Unternehmen hat bislang keine technischen Details zu den aktiven Angriffen oder Indikatoren für eine Kompromittierung veröffentlicht.
SMA1000-Geräte bieten großen Unternehmen, Behörden und Organisationen der kritischen Infrastruktur einen sicheren Fernzugriff. Diese Rolle macht eine erfolgreiche Ausnutzung besonders schwerwiegend.
Angreifer haben SonicWall-SMA1000-Schwachstellen wiederholt ins Visier genommen. Frühere Zero-Days dienten zur Installation maßgeschneiderter Schadsoftware, und CISA bestätigte später, dass Ransomware-Gruppen begonnen hatten, einige dieser Schwachstellen auszunutzen.
0 Kommentare zu „SonicWall warnt vor aktiv ausgenutzten SMA1000-Zero-Days“