Sicherheitslücke in SonicWall SMA1000 führt zu Hotfixes für Schwachstelle mit höchstem Schweregrad

SonicWall hat Hotfixes für eine Sicherheitslücke mit höchstem Schweregrad veröffentlicht, die seine SMA1000-Geräte für sicheren Fernzugriff betrifft. Die Sicherheitslücke in SonicWall SMA1000 könnte es Angreifern ohne Anmeldedaten ermöglichen, anfällige Gateways zur Ausführung nicht autorisierter Vorgänge zu veranlassen.

Das Unternehmen forderte seine Kunden auf, die Updates umgehend zu installieren. Allerdings erklärte SonicWall bei der Ankündigung der Korrekturen, dass keine Hinweise auf eine aktive Ausnutzung vorlägen.

Welche SonicWall-Geräte sind betroffen?

Die als CVE-2026-102255 erfasste Server-Side-Request-Forgery-Schwachstelle (SSRF) betrifft die Appliance WorkPlace-Oberfläche der Modelle SMA1000 6210, 7210 und 8200v.

Die SMA 100-Serie ist dagegen nicht von dem Problem betroffen. Auch SSL-VPN-Dienste, die auf SonicWall-Firewalls ausgeführt werden, fallen nicht in den Geltungsbereich der Schwachstelle.

Die Sicherheitslücke betrifft einen unbeabsichtigten alternativen Zugriffsweg innerhalb der betroffenen Benutzeroberfläche. Angreifer können diesen aus der Ferne ohne besondere Berechtigungen ausnutzen, wobei der Angriff nur eine geringe Komplexität aufweist.

Über diesen Zugriffsweg könnte ein Angreifer das Gerät dazu bringen, Anfragen in seinem Namen zu senden. Dadurch könnte er möglicherweise auf interne Funktionen zugreifen und Vorgänge ausführen, für die ihm die erforderlichen Berechtigungen fehlen.

Hotfixes verfügbar, während Hunderte Gateways weiterhin online sind

SonicWall veröffentlichte die Hotfixes am 6. Oktober und empfahl seinen Kunden, betroffene physische und virtuelle Geräte zu aktualisieren.

Unterdessen zeigten die im Bericht zitierten Daten von Shadowserver, dass mehr als 400 SMA1000-Gateways über das Internet erreichbar waren. Diese Zahl lässt jedoch keine Rückschlüsse darauf zu, wie viele davon weiterhin anfällig sind, da einige Betreiber die Updates möglicherweise bereits installiert haben.

Obwohl SonicWall keine bekannten Fälle einer Ausnutzung meldete, betrifft die Schwachstelle Geräte, die Zugriff auf sensible Unternehmensressourcen ermöglichen. Daher haben Organisationen, die die betroffenen Modelle einsetzen, gute Gründe, die Behebung des Problems zu priorisieren.

SMA1000-Gateways ermöglichen den Fernzugriff auf interne Anwendungen und Netzwerke. Behörden, Anbieter verwalteter Sicherheitsdienste und große Unternehmen setzen diese Geräte ein.

Frühere SMA1000-Angriffe erhöhen die Dringlichkeit

Die Sicherheitslücke in SonicWall SMA1000 folgt auf mehrere frühere Schwachstellen, die Angreifer bereits ausnutzten, bevor entsprechende Korrekturen verfügbar waren.

Im Juli nutzten Angreifer die Schwachstellen CVE-2026-15409 und CVE-2026-15410 über mehrere Wochen hinweg, um speziell entwickelte Schadsoftware auf anfälligen Geräten zu installieren. Bei diesen Angriffen kamen die Schadprogramme Sou5, OrangeTail und RootRun zum Einsatz.

Die US-amerikanische Cybersicherheitsbehörde Cybersecurity and Infrastructure Security Agency (CISA) brachte die Ausnutzung dieser Schwachstellen anschließend mit Ransomware-Gruppen in Verbindung.

Im September warnte SonicWall dann vor zwei weiteren aktiv ausgenutzten Sicherheitslücken: CVE-2026-83548 und CVE-2026-83549. Angreifer kombinierten diese, um aus der Ferne Code auf betroffenen Gateways auszuführen.

In den vorangegangenen vier Jahren nahm CISA insgesamt 19 SonicWall-Schwachstellen in seinen Katalog bekanntermaßen ausgenutzter Sicherheitslücken, den Known Exploited Vulnerabilities Catalog, auf. Davon standen 13 auch mit Ransomware-Angriffen in Verbindung.

Diese früheren Vorfälle belegen jedoch nicht, dass CVE-2026-102255 bereits ausgenutzt wurde. Für die neu bekannt gewordene Schwachstelle empfiehlt SonicWall, die verfügbaren Hotfixes zu installieren, bevor Angreifer sie möglicherweise ausnutzen.