SonicWall SMA1000 Zero-Day: CVSS 10, aktiv ausgenutzt

SonicWall SMA1000 Zero-Day: Zwei neue Lücken (CVSS 10.0 / 7.8) werden aktiv ausgenutzt – die zweite Welle in zwei Monaten. CISO-Einordnung und To-dos für heute.

SonicWall warnt seit Dienstagabend vor zwei neuen SonicWall SMA1000 Zero-Day-Lücken, die bereits aktiv ausgenutzt werden. Es ist die zweite Angriffswelle auf dieselbe Produktlinie innerhalb von zwei Monaten – und wieder wurde die Lücke erst bemerkt, als Angreifer sie schon nutzten. Wer ein SMA1000-Gateway betreibt, hat heute genau eine Aufgabe: den Hotfix einspielen und das Gerät auf Kompromittierung prüfen.

Was passiert ist

Am 1. September 2026 (US-Zeit) veröffentlichte SonicWall das Advisory SNWLID-2026-0016. Es beschreibt zwei Schwachstellen in den Secure-Mobile-Access-Appliances der 1000er-Serie, die laut Hersteller in einem untersuchten Fall gemeinsam ausgenutzt wurden:

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

CVE-2026-83548 – eine Server-Side-Request-Forgery (SSRF) im WorkPlace-Interface, die ohne Anmeldung aus der Ferne erreichbar ist. Der NVD-Eintrag führt sie mit CVSS 3.1 10.0 (kritisch). Ursache ist laut Beschreibung ein „unbeabsichtigter alternativer Zugriffspfad”, über den ein Angreifer an Funktionen kommt, die er nicht erreichen dürfte.
CVE-2026-83549 – eine OS-Command-Injection in der Appliance Management Console (AMC). Sie setzt Admin-Rechte voraus und ist mit CVSS 7.8 (hoch) bewertet. Für sich genommen bräuchte sie erst einen Admin-Zugang; in Kombination mit der SSRF wird daraus Codeausführung auf dem Gateway. Behoben sind beide Lücken laut NVD in den Versionen 12.4.3-03526 bzw. 12.5.0-02952.

Betroffen sind die Modelle 6210, 7210 und die virtuelle Appliance 8200v. Nicht betroffen sind laut SonicWall die SMA-100-Serie und der SSL-VPN-Dienst auf SonicWall-Firewalls. Shadowserver zählt laut BleepingComputer über 400 SMA1000-Appliances, die direkt aus dem Internet erreichbar sind – ein Teil davon dürfte inzwischen gepatcht sein. CISA hat beide CVEs bereits am 2. September in den KEV-Katalog aufgenommen; US-Behörden müssen bis zum 5. September patchen. Indikatoren für eine Kompromittierung (IOCs) hat SonicWall bislang nicht veröffentlicht; Kunden sollen sich für eine Prüfung an den Support wenden.

Der Kontext: dieselbe Produktlinie, dritter Zero-Day-Vorfall in neun Monaten

Das Muster ist nicht neu. Im Dezember 2025 war es CVE-2025-40602, im Juni/Juli 2026 das Pärchen CVE-2026-15409 und CVE-2026-15410 – ebenfalls eine Pre-Auth-SSRF plus Code-Injection, ebenfalls erst nach wochenlanger Ausnutzung entdeckt. Wie daraus INC-Ransomware auf VPN-Gateways wurde, haben wir im August beschrieben. Die neuen CVEs haben aus meiner Sicht strukturell dieselbe Anatomie wie die alten. Das ist der eigentlich beunruhigende Punkt: Es legt nahe, dass der Fix im Juli den konkreten Pfad geschlossen hat, nicht die Klasse von Problem – eine Herstelleraussage dazu gibt es allerdings nicht.

Was das für dich bedeutet

Aus CISO-Sicht sind SSL-VPN-Gateways seit Jahren die am härtesten umkämpfte Angriffsfläche im Perimeter – Ivanti, Fortinet, Citrix, Palo Alto und eben SonicWall wechseln sich in den KEV-Katalogen ab. Drei Punkte, die ich aus 25 Jahren Infrastruktur-Betrieb mitnehme:

Erstens: Ein Gateway mit Pre-Auth-Lücke ist nicht „vielleicht” kompromittiert, sondern bis zum Gegenbeweis. Bei einer CVSS-10-Lücke ohne Authentifizierung, die nachweislich ausgenutzt wird und für die es keine IOC-Liste gibt, kannst du eine Kompromittierung nicht durch Logsuche ausschließen. SonicWall selbst empfiehlt bei festgestellter Kompromittierung Re-Imaging (bei der 8200v: Neu-Deployment), Passwort-Reset für alle Nutzer und Admins sowie das Zurücksetzen der TOTP-Tokens. Meine Position geht einen Schritt weiter: Ohne IOC-Liste ist „festgestellt” ein Zufallsbefund – wer es ernst meint, behandelt das Gerät als kompromittiert. Das ist kein Übermaß, sondern der einzige Weg, es wieder in einen bekannten Zustand zu bringen.

Zweitens: Die Management-Konsole gehört nicht ins Internet. CVE-2026-83549 braucht Admin-Rechte – aber genau die verschafft die SSRF. Wenn die AMC nur aus einem Admin-Netz erreichbar ist, fehlt der Kette ein Glied. Diese Regel gilt für jede Appliance, nicht nur für SonicWall.

Drittens: Der Patch-Zyklus muss schneller sein als der KEV-Katalog. Die Juli-Lücken standen am Tag der Offenlegung im KEV – da waren sie aber schon rund drei Wochen ausgenutzt. Auch diesmal war CISA schnell (Aufnahme am 2. September, Frist 5. September), doch der Katalog kann nichts listen, was noch niemand kennt. Wer auf die Behörden-Frist wartet, ist strukturell zu spät. Hersteller-Advisories abonnieren und für Perimeter-Geräte ein Notfall-Patch-Fenster von 24 Stunden vorsehen – das ist heute Standard, nicht Kür.

Konkrete To-dos für heute

Firmware-Stand aller SMA1000-Appliances (6210/7210/8200v) prüfen und den Hotfix aus SNWLID-2026-0016 einspielen. Virtuelle 8200v nicht vergessen – die stehen oft nicht im Patch-Inventar.
Prüfen, ob die AMC aus dem Internet erreichbar ist. Falls ja: sofort auf Admin-Netz/VPN einschränken.
Auth-Logs mindestens seit dem Juli-Patch (14. Juli) auf ungewöhnliche Admin-Logins, neue lokale Konten und Konfigurationsänderungen durchsehen. Bei Auffälligkeiten: Re-Image, Credentials und TOTP zurücksetzen, Support kontaktieren.
Wenn du die Juli-Lücken damals verspätet gepatcht hast: Das Gerät jetzt als potenziell seit Wochen kompromittiert behandeln – Angreifer, die im Juli drin waren, brauchen die neuen CVEs nicht mehr.
Den Vorfall im Risikoregister dokumentieren. Drei Zero-Days in neun Monaten auf einer Produktlinie sind ein Argument für die nächste Budgetrunde, nicht nur eine Fußnote.

Wer sich generell fragt, wie widerstandsfähig seine Remote-Access-Strategie ist, findet in unserem Beitrag zum SonicWall-Credential-Stuffing gegen 30 Firmen den zweiten Angriffsweg, der bei Gateways regelmäßig funktioniert: gültige Zugangsdaten.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden

SonicWall SMA1000 Zero-Day: Zweite Angriffswelle in zwei Monaten