CISA: Ransomware-Gruppen nutzen Schwachstellen in SonicWall SMA1000 aus

CISA hat bestätigt, dass Ransomware-Gruppen zwei kürzlich behobene Schwachstellen in SonicWall SMA1000 ausnutzen.

Die Schwachstellen betreffen VPN-Gateways für Unternehmen, die von großen Organisationen, Behörden und Managed-Service-Providern eingesetzt werden. Administratoren sollten die verfügbaren Hotfixes unverzüglich installieren.

Bei einer der Schwachstellen handelt es sich um eine SSRF-Sicherheitslücke mit maximalem Schweregrad. Beide Schwachstellen waren bereits als Zero-Days ausgenutzt worden, bevor SonicWall sie öffentlich bekannt gab.

Zwei Schwachstellen mit Ransomware-Angriffen verbunden

Die betroffenen Schwachstellen werden als CVE-2026-15409 und CVE-2026-15410 geführt. SonicWall veröffentlichte Mitte Juli Patches für beide Sicherheitslücken.

Damals warnte das Unternehmen davor, dass Angreifer die Schwachstellen aktiv ausnutzen. Es forderte Kunden auf, so schnell wie möglich auf die Hotfix-Version zu aktualisieren.

CISA nahm beide SonicWall-SMA1000-Schwachstellen am 14. Juli in seinen Katalog der Known Exploited Vulnerabilities auf. US-Bundesbehörden im zivilen Bereich hatten drei Tage Zeit, betroffene Systeme zu patchen.

Aktuelle Aktualisierungen des KEV-Katalogs weisen nun darauf hin, dass beide Schwachstellen von Ransomware-Gruppen ausgenutzt werden. Dadurch steigt das Risiko für alle Organisationen, die die Installation der Patches verzögert haben.

Angreifer nutzten Zero-Days vor der Veröffentlichung

Das Incident-Response-Unternehmen Volexity erklärte, dass ein als UTA0533 bekannter Bedrohungsakteur am 22. Juni mit der Ausnutzung der Schwachstellen begann.

Die Angriffe begannen mehrere Wochen, bevor SonicWall die Schwachstellen öffentlich bekannt gab. Die Gruppe nutzte kompromittierte SMA1000-Geräte, um speziell entwickelte Malware einzuschleusen.

Forscher identifizierten bei diesen Angriffen mehrere Malware-Familien. Dazu gehören KNUCKLEBALL, Sou5, ROOTRUN und ORANGETAIL.

Diese Werkzeuge können Angreifern einen ersten Zugang zu einem Netzwerk verschaffen. Von dort aus können sie Daten stehlen, weitere Schadsoftware einschleusen oder Ransomware-Angriffe vorbereiten.

Hunderte Geräte weiterhin exponiert

Shadowserver verfolgt mehr als 380 SonicWall-SMA1000-Geräte, die über das Internet erreichbar sind. Einige dieser Systeme könnten bereits gepatcht oder anderweitig abgesichert sein.

Jedes exponierte und ungepatchte Gerät stellt jedoch einen potenziellen Einstiegspunkt dar. Organisationen sollten alle SMA1000-Geräte identifizieren und deren Patch-Status überprüfen.

Sicherheitsteams sollten außerdem Protokolle auf ungewöhnliche Aktivitäten untersuchen. Verdächtige Fernzugriffsversuche, Konfigurationsänderungen und neue Administratorkonten können auf eine Kompromittierung hinweisen.

SonicWall-Nutzer sind weiterhin Risiken ausgesetzt

SonicWall hatte in den vergangenen Monaten mit mehreren schwerwiegenden Sicherheitsproblemen zu kämpfen.

Im Dezember warnte das Unternehmen vor einer weiteren Zero-Day-Schwachstelle in SMA1000. Angreifer kombinierten diese Schwachstelle mit weiteren Angriffsschritten, um Root-Rechte auf Appliance-Management-Console-Systemen zu erlangen.

SonicWall brachte außerdem staatlich unterstützte Hacker mit einem Sicherheitsvorfall im September in Verbindung. Dabei wurden Sicherungsdateien der Firewall-Konfigurationen von Kunden offengelegt.

Das Unternehmen veröffentlichte später Firmware, um die Rootkit-Malware OVERSTEP zu entfernen. Angreifer hatten die Schadsoftware gegen Geräte der SonicWall-SMA-100-Serie eingesetzt.

Die jüngste Warnung macht eine schnelle Installation der Patches unerlässlich. Organisationen sollten die Schwachstellen in SonicWall SMA1000 als akutes Ransomware-Risiko behandeln.