SonicWall SMA1000 CVE-2026-102255: Angriffsversuche auf CVSS-10-Lücke

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Bei der SonicWall SMA1000 wird es zum Jahresthema: Zum dritten Mal in diesem Jahr steckt eine Lücke mit CVSS 10.0 im WorkPlace-Portal der Remote-Access-Appliance. SonicWall hat am 6. Oktober 2026 Hotfixes für vier Schwachstellen veröffentlicht. Drei Tage später meldeten Forscher erste Angriffsversuche auf die schwerste davon. SonicWall selbst sieht bislang keinen Beleg für eine Ausnutzung in freier Wildbahn, und die CVE steht Stand 10. Oktober 2026 nicht in CISAs KEV-Katalog.

CVE-2026-102255: SSRF ohne Anmeldung, CVSS 10.0

Die kritische Lücke trägt die Nummer CVE-2026-102255. Es handelt sich laut Eintrag in der NVD um eine Server-Side Request Forgery (SSRF) im Appliance-WorkPlace-Interface, erreichbar über einen unbeabsichtigten alternativen Zugriffspfad. Ein Angreifer braucht dafür keine Zugangsdaten. Er kann die Appliance dazu bringen, Anfragen in seinem Auftrag abzusetzen und so interne Funktionen zu erreichen. Die NVD führt den Fehler mit CVSS-3.1-Basiswert 10.0 (Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) sowie den Schwächen CWE-918 und CWE-441.

Die drei übrigen Lücken aus dem Advisory SNWLID-2026-0017 setzen eine Anmeldung voraus: eine OS-Command-Injection (CVE-2026-102256, 7.8), ein Zip-Slip in der Appliance Management Console (CVE-2026-102257, 7.2) und ein gespeichertes Cross-Site-Scripting (CVE-2026-102258, vom Hersteller mit 5.5 bewertet; der CNA-Eintrag in der NVD führt 6.1). Gemeldet wurden die vier Fehler von externen Forschern: Benoît Sevens für die SSRF und die Command-Injection, Brian Mariani (DigitalCanion SA) sowie die Zero Day Initiative für die beiden übrigen.

Betroffene und gepatchte Versionen

• Betroffen sind die Modelle SMA1000 6210, 7210 und 8200v.
• Version 12.4.3: betroffen bis einschließlich 12.4.3-03526, behoben ab 12.4.3-03670.
• Version 12.5.0: betroffen bis einschließlich 12.5.0-02952, behoben ab 12.5.0-03082.
• Nicht betroffen: die SMA-100-Serie und SSL-VPN auf SonicWall-Firewalls.
• Ein Workaround ist nicht dokumentiert. Der Hotfix kommt über MySonicWall, die Appliance startet danach neu.

Wichtig dabei: Die als betroffen genannten Builds 12.4.3-03526 und 12.5.0-02952 waren im September noch die Lösung für zwei bestätigt ausgenutzte Lücken. Wer damals brav gepatcht hat, steht jetzt trotzdem wieder auf einer angreifbaren Version.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was die beobachteten Angriffe machen

Der Sicherheitsforscher Ryan Dewhurst (Previdian) berichtete gegenüber BleepingComputer, sein Honeypot-Netz habe am 9. Oktober Anfragen gesehen, die zu CVE-2026-102255 passen. Dabei ging ein präparierter OPTIONS-Request an das WorkPlace-Extraweb-Interface, um den internen CouchDB-Dienst auf 127.0.0.1:5984 zu erreichen. Der Payload versuchte, in ein CouchDB-Design-Dokument zu wechseln und dessen _rewrite-Funktion aufzurufen – mit einem HTTP-Basic-Header und den Zugangsdaten admin:admin. Ob dabei ein System tatsächlich übernommen wurde, ist laut Forscher offen. Shadowserver zählt derzeit über 400 im Internet erreichbare SMA1000-Appliances; wie viele davon gepatcht oder selbst Honeypots sind, ist unbekannt.

Was das für dich bedeutet

Aus CISO-Sicht ist der Einzelfehler hier nicht die eigentliche Nachricht. Interessant ist das Muster: dreimal im Jahr 2026 eine 10.0er-SSRF in derselben Oberfläche, dazu eine Standard-Zugangsdaten-Kombination im Exploit-Versuch. Das deutet auf eine Angriffsfläche hin, die von innen heraus zu viel Vertrauen verteilt – interne Dienste, die auf localhost lauschen und mit Trivialpasswörtern antworten, sind in einem Gerät, das direkt im Internet steht, ein strukturelles Problem.

Für den Betrieb heißt das zweierlei. Erstens: Ein VPN-Gateway ist kein Sicherheitsprodukt, nur weil „Secure“ im Namen steht – es ist ein exponierter Webserver mit Admin-Oberfläche und gehört entsprechend behandelt. Zweitens: Der Patch-Zyklus solcher Appliances ist zu kurz für Quartalsfenster. Wer SMA1000 betreibt, braucht einen Notfall-Patchpfad, der in Tagen statt in Wochen rechnet, und einen Plan für den Fall, dass die nächste Lücke zwischen zwei Hotfixes auftritt. Entlastend ist nur eins: Die Lücke trifft einen klar abgrenzbaren Gerätetyp, nicht die gesamte SonicWall-Produktpalette.

Konkrete Schritte für Admins

• Version prüfen und patchen: In der AMC die Platform-Hotfix-Version ablesen und auf mindestens 12.4.3-03670 bzw. 12.5.0-03082 gehen. Ein im September eingespielter Hotfix reicht nicht.
• Erreichbarkeit einschränken: Das WorkPlace-Interface nicht breiter als nötig aus dem Internet erreichbar lassen; die Management-Oberfläche gehört ohnehin nicht ins offene Netz.
• Logs gezielt durchsehen: Nach auffälligen OPTIONS-Requests auf Extraweb-Pfade und nach Anfragen mit Basic-Auth-Headern suchen – der öffentlich beschriebene Versuch nutzt genau dieses Muster.
• Standard-Zugangsdaten jagen: Jede interne Komponente und jeden Admin-Account auf Trivialpasswörter prüfen. Dass ein Exploit admin:admin probiert, hat einen Grund.
• Admin-Zugänge härten: Für Konten mit Appliance-Hoheit gehört eine phishing-resistente zweite Stufe dazu; welche Hardware dafür taugt, steht in meinem Ratgeber zu Hardware-Security-Keys mit FIDO2.
• Kompromittierung einkalkulieren: Für die Vorgängerlücken empfahl SonicWall im Verdachtsfall Neuaufsetzen der Appliance, Passwortwechsel und Reset der TOTP-Token. Für die neuen vier Lücken gibt es diese Anweisung nicht – als Reaktionsplan ist sie trotzdem der richtige Maßstab.

Wie schnell sich die Lage bei diesem Produkt dreht, zeigt der Rückblick auf die zweite Angriffswelle binnen zwei Monaten vom September. Wer SMA1000 im Einsatz hat, sollte das Advisory-Postfach von SonicWall abonniert haben.

Quellen

• NVD – CVE-2026-102255
• SonicWall PSIRT – Advisory SNWLID-2026-0017
• BleepingComputer – Max severity SonicWall SMA1000 flaw now exploited in attacks (09.10.2026)
• The Hacker News – SonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances (07.10.2026)