Eine gefährliche Angriffskette trifft derzeit die SonicWall SMA 1000: Die Ransomware-Gruppe INC nutzt zwei Schwachstellen im VPN-Gateway aus, um sich unbemittelt Root-Rechte auf internetweit erreichbaren Appliances zu verschaffen. Sicherheitsforscher von Resecurity dokumentieren die Kampagne unter dem Titel „From WSProxy to Root”. Wer eine SMA-1000-Serie betreibt und noch nicht gepatcht hat, sollte jetzt handeln.
SonicWall SMA 1000: zwei Lücken, eine Root-Kette
Im Zentrum stehen zwei CVEs, die zusammen eine vollständige Übernahme erlauben. CVE-2026-15409 ist mit dem Höchstwert CVSS 10.0 bewertet: Über den /wsproxy-Endpunkt kann ein nicht authentifizierter Angreifer aus dem Netz einen WebSocket-Tunnel zu Diensten öffnen, die eigentlich nur lokal erreichbar sein sollten. Diese Vorauthentifizierungs-Lücke ist der Türöffner.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Die zweite Schwachstelle, CVE-2026-15410 (CVSS 7.2), ist ein Path-Traversal-Fehler im remove_hotfix-Ablauf des ctrl-service. Angreifer missbrauchen ihn, um von einem Dienstkonto mit geringen Rechten bis auf Root hochzurechnen. Verkettet ergeben beide Fehler eine Kompromittierung ohne Anmeldedaten – bis zur höchsten Berechtigungsstufe des Systems.
Aktive Ausnutzung schon vor der Veröffentlichung
Besonders brisant: Die Lücken wurden als Zero-Day ausgenutzt, bevor sie öffentlich bekannt waren. Laut den Analysen setzte der Bedrohungsakteur UTA0533 die Kette bereits seit mindestens dem 22. Juni 2026 ein. SonicWall veröffentlichte die zugehörigen Fixes erst Mitte Juli 2026. Zwischen erster Ausnutzung und Patch lag also ein Zeitfenster, in dem verwundbare Systeme offen standen.
Seit Anfang August 2026 beobachtet Resecurity, dass die INC-Ransomware ihre Aktivität deutlich steigert und neue Opfer auf ihrer Leak-Seite listet. Auf dem Tracker Ransomware.Live werden der Gruppe insgesamt 885 Opfer zugeschrieben; der jüngste Eintrag stammt vom 2. August 2026. Nicht jeder Fall geht zwangsläufig auf die SMA-Lücken zurück – doch die Appliances sind ein bevorzugter Einstiegspunkt geworden.
Was Betreiber jetzt tun sollten
Ein reines Einspielen der Updates reicht nicht, wenn ein System bereits kompromittiert wurde. Die Forscher empfehlen daher ein mehrstufiges Vorgehen:
- Patchen: Die von SonicWall bereitgestellten Fixes für die SMA-1000-Serie umgehend einspielen.
- Zugangsdaten rotieren: Passwörter und Schlüssel erneuern, da Angreifer sie abgegriffen haben könnten.
- Threat Hunting: gezielt nach Spuren der Kompromittierung suchen, statt nur auf den Patch zu vertrauen.
- Integrität prüfen: die Appliance auf hinterlassene Hintertüren und veränderte Dateien kontrollieren.
Das Muster ist nicht neu: Erst kürzlich sorgte eine andere SonicWall-Baustelle für Schlagzeilen, als Angreifer per Credential-Stuffing rund 30 Firmen ins Visier nahmen. Perimeter-Geräte wie VPN-Gateways bleiben ein Hauptziel – weil sie per Definition aus dem Internet erreichbar sind.
Ransomware trifft am Ende die Daten
Ob die Ransomware über ein VPN-Gateway, eine Phishing-Mail oder eine andere Lücke hereinkommt: Am Ende zählt, ob sich Daten wiederherstellen lassen. Eine saubere, offline gehaltene Backup-Strategie ist der wirksamste Schutz gegen Erpressung. Wer seine Sicherungen und sensiblen Daten zusätzlich verschlüsselt aufbewahren will, findet praktische Hinweise in unserem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs.
Kurz gefasst: Die SonicWall SMA 1000 gehört aktuell zu den heißesten Zielen im Netz. Prüfen Sie den Patch-Stand, rotieren Sie Zugangsdaten und gehen Sie davon aus, dass ein ungepatchtes, internetweit erreichbares Gerät bereits berührt wurde.
Quellen
- The Hacker News: INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
- Resecurity: From WSProxy to Root – INC ransomware and SonicWall SMA Exploit Chain
- Tenable: CVE-2026-15409 & CVE-2026-15410 SonicWall SMA 1000 Zero-Days
- SecurityWeek: Recent SonicWall Vulnerabilities Exploited in Ransomware Attacks
- Ransomware.Live: INC Ransom Opferstatistik
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden