SonicWall SMA1000: Kritische Zero-Day-Lücken in Remote-Access-Gateways aktiv ausgenutzt

Abstrakte Darstellung eines durchbrochenen Zugangstors zwischen zwei Netzwerkzonen, ein greller Riss zieht sich von außen nach innen, dunkler Hintergrund, Akzentfarben Cyan und Gold.
Symbolbild, KI-generiert

Verfasst von

Marcel Peter

in

Am 14. Juli 2026 hat SonicWall zwei Schwachstellen in seiner SMA1000-Produktreihe offengelegt, die zum Zeitpunkt der Veröffentlichung bereits aktiv von Angreifern ausgenutzt wurden. Beide Lücken stehen inzwischen im Known-Exploited-Vulnerabilities-Katalog (KEV) der US-Cybersicherheitsbehörde CISA. Wir haben die Angaben gegen die offizielle SonicWall-PSIRT-Advisory, die NVD-Einträge und mehrere unabhängige Fachquellen geprüft.

Was ist betroffen

Die SonicWall Secure Mobile Access (SMA) 1000 Series ist ein Remote-Access-Gateway: ein Gerät, über das Mitarbeitende von außen sicher auf interne Unternehmensanwendungen zugreifen, vergleichbar mit einem klassischen VPN-Konzentrator, nur mit zusätzlicher Anwendungssteuerung. Solche Geräte stehen naturgemäß am Rand des Netzwerks und sind über das Internet erreichbar, das ist ihr Zweck.

Betroffen sind laut Advisory SNWLID-2026-0008 die Hardware-Modelle SMA6210 und SMA7210, die virtuelle Appliance SMA8200v sowie der Central Management Server (CMS), auf folgenden Versionen:

  • 12.4.3-03245, 12.4.3-03387, 12.4.3-03434
  • 12.5.0-02283, 12.5.0-02624, 12.5.0-02800

Gefixt ist die Lücke in 12.4.3-03453 beziehungsweise 12.5.0-02835 und neueren Versionen.

Die zwei Schwachstellen

CVE-2026-15409 ist eine Server-Side-Request-Forgery-Lücke (SSRF, CWE-918) im „Work Place“-Interface der SMA1000-Appliance. Sie erreicht mit CVSS 10.0 den höchstmöglichen Schweregrad und ist von der NVD offiziell mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H bewertet: aus der Ferne, ohne Authentifizierung, ohne Nutzerinteraktion und mit vollem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit ausnutzbar. Ein Angreifer kann das Gerät zwingen, Anfragen an von ihm gewählte Ziele zu senden.

CVE-2026-15410 ist eine Command-/Code-Injection-Lücke in der Management-Konsole der SMA1000-Appliance, CVSS 7.2 (High), NVD stuft sie als post-authentifiziert ein: Ein bereits angemeldeter Administrator-Account kann darüber beliebige Betriebssystembefehle ausführen.

Die eigentliche Gefahr liegt in der Kombination beider Lücken: Mehrere Fachquellen (Rapid7, BleepingComputer, The Hacker News) beschreiben, dass Angreifer die unauthentifizierte SSRF nutzen, um sich unautorisiert Zugang zu verschaffen, und anschließend die zweite Lücke anschließen, um mit Administratorrechten Code auszuführen. Aus einer Kette aus zwei Einzellücken wird so eine vollständige, unauthentifizierte Übernahme des Geräts von außen.

GF-Klartext, Unternehmen ohne SMA1000-Einsatz: Diese konkrete Meldung betrifft Sie nicht direkt, wenn Sie kein SonicWall-Remote-Access-Gateway einsetzen. Sie zeigt aber ein wiederkehrendes Muster: Geräte, die absichtlich am Netzwerkrand stehen und von außen erreichbar sein müssen (Firewalls, VPN-Gateways, Remote-Access-Lösungen), sind ein bevorzugtes Angriffsziel, weil eine einzige Lücke dort direkt den Übergang ins interne Netz öffnet. Ein regelmäßiger Blick auf die eigene Edge-Infrastruktur lohnt sich unabhängig vom konkreten Hersteller.

GF-Klartext, Unternehmen mit SMA1000-Einsatz: Wenn eines der genannten Modelle bei Ihnen im Einsatz ist, ist das keine Lücke unter vielen, sondern der wahrscheinlichste Weg für einen Angreifer, aus dem offenen Internet direkt in Ihr internes Netz zu gelangen, ohne ein Passwort zu benötigen. Beide US-Bundesbehörden-Fristen (siehe unten) und die bestätigte aktive Ausnutzung sprechen für sofortiges Handeln, nicht für den nächsten regulären Wartungstermin.

Warum SSRF auf einem Edge-Gerät besonders kritisch ist

Eine SSRF-Lücke erlaubt es einem Angreifer, ein Gerät dazu zu bringen, Anfragen an Ziele seiner Wahl zu senden, so, als käme die Anfrage vom Gerät selbst. Auf einem normalen internen Server ist das schon unangenehm. Auf einem Remote-Access-Gateway, das per Konstruktion Vertrauensstellungen zu internen Systemen besitzt (genau dafür ist es da: es soll Zugriff auf interne Anwendungen vermitteln), kann eine SSRF-Lücke genutzt werden, um interne Netzsegmente zu erreichen, die von außen eigentlich unerreichbar wären. In Kombination mit einer zweiten Lücke, die daraus Codeausführung macht, verwandelt sich das Gateway von einer Zugangskontrolle in ein offenes Tor.

Bezug zu KRITIS und NIS2

SMA1000-Geräte werden typischerweise von Unternehmen mit größerem Remote-Access-Bedarf eingesetzt, darunter auch Betreiber kritischer Infrastrukturen. Das bedeutet nicht automatisch, dass jeder SMA1000-Betreiber KRITIS- oder NIS2-pflichtig ist, das hängt von Sektor und Größe des Unternehmens ab. Wer aber ohnehin unter NIS2 fällt, sollte einen aktiv ausgenutzten CVSS-10.0-Fund an einem internetexponierten Zugangsgerät als klassischen Fall für die Meldepflicht bei erheblichen Sicherheitsvorfällen einordnen, sobald ein konkreter Kompromittierungsverdacht vorliegt (Betroffenheit ist hier ein Prüfhinweis, keine automatische Feststellung).

CISA KEV-Aufnahme und Fristsetzung

Beide CVEs wurden von der CISA in den Known-Exploited-Vulnerabilities-Katalog aufgenommen. Für US-Bundesbehörden gilt laut Binding Operational Directive (BOD) 26-04 eine Frist bis zum 17. Juli 2026, betroffene Systeme abzusichern oder den Einsatz einzustellen, sofern keine Mitigation möglich ist. Diese Frist bindet Marcels Kunden nicht direkt (keine US-Bundesbehörde), sie ist aber ein verlässlicher Indikator für den Ernst der Lage: Die CISA setzt solche Fristen nur bei bestätigter aktiver Ausnutzung.

Handlungsempfehlung

Priorität 1, sofort:

  1. Prüfen, ob eines der Modelle SMA6210, SMA7210, SMA8200v oder ein CMS im Einsatz ist und auf welcher Version.
  2. Bei betroffener Version umgehend auf 12.4.3-03453 beziehungsweise 12.5.0-02835 oder neuer aktualisieren (Hotfix über MySonicWall.com, laut SonicWall auch vorab über den SonicWall-Support erhältlich).
  3. Vor und unabhängig vom Update eine forensische Prüfung auf Kompromittierungsindikatoren (IOCs) durchführen (siehe unten). Aktive Ausnutzung bedeutet: Ein Patch schließt die Lücke für die Zukunft, beseitigt aber keinen bereits erfolgten Einbruch.
  4. Bei Fund eines IOC: Betroffene Appliance neu aufsetzen (Re-Image), nicht nur patchen. Alle Passwörter ändern, TOTP-Token zurücksetzen und neu ausrollen.
  5. Konfigurations-Backups nur verwenden, wenn sie nachweislich vor dem Dezember-Hotfix (12.4.3-03245 beziehungsweise 12.5.0-02283) erstellt wurden, ein Backup aus einer bereits verwundbaren Version kann den Kompromittierungszustand mit zurückspielen.

Zu prüfende Indikatoren für Kompromittierung (IOC):

  • Einträge in extraweb_access.log mit Anfragen an /__api__/login oder /__api__/logout und HTTP-Statuscode 200.
  • Anfragen an /wsproxy mit auffälligen Host-Parametern und HTTP-Statuscode 101.
  • Einträge in ctrl-service.log mit dem Text „hotfix removal“ in Kombination mit Dateinamen, die Path-Traversal-Muster enthalten (etwa ../-Sequenzen).
  • Unautorisierte Routen in /var/lib/unit/conf.json.

Fazit

Zwei Lücken mit Höchst- beziehungsweise Hoch-Bewertung, bestätigt aktiv ausgenutzt, in Kombination miteinander verkettbar, auf einem Gerätetyp, der bewusst am Netzwerkrand steht: Das ist eine der eindeutigeren Prioritäts-1-Situationen in diesem Jahr. Wer SMA1000-Geräte betreibt, sollte Patch und IOC-Prüfung nicht getrennt behandeln, sondern beides parallel ansetzen. Ein regelmäßiger, unabhängiger Sicherheits-Check der eigenen Edge-Infrastruktur hilft, solche Abhängigkeiten frühzeitig zu erkennen, etwa mit unserem Auditor, der Consent- und Datenfluss-Risiken samt bekannter Schwachstellen in eingesetzter Software systematisch prüft.

Quellen (Abrufdatum: 16.07.2026)

  • SonicWall PSIRT Advisory SNWLID-2026-0008: psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008
  • SonicWall Product Notice: sonicwall.com/support/notices/product-notice-sma-1000-series-affected-by-multiple-vulnerabilities/kA1VN000001nv6D0AQ
  • NVD CVE-2026-15409: nvd.nist.gov/vuln/detail/CVE-2026-15409
  • CISA Known Exploited Vulnerabilities Catalog: cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-15409
  • BleepingComputer: bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-flaws-exploited-in-zero-day-attacks-patch-now/
  • Rapid7 MDR: rapid7.com/blog/post/etr-rapid7-mdr-team-discovers-new-sonicwall-sma1000-zero-days-being-actively-exploited-cve-2026-15409-cve-2026-15410/
  • The Hacker News: thehackernews.com/2026/07/two-sonicwall-sma-1000-zero-days.html
  • Help Net Security: helpnetsecurity.com/2026/07/14/sonicwall-sma-attacks-via-cve-2026-15409-cve-2026-15410/
  • SecurityWeek: securityweek.com/sonicwall-issues-urgent-sma-patch-warning-for-two-zero-day-exploits/
  • Security Affairs (CISA-KEV-Meldung): securityaffairs.com/195383/security/u-s-cisa-adds-sonicwall-and-microsoft-flaws-to-its-known-exploited-vulnerabilities-catalog.html
WhatsApp