SonicWall SMA1000: Zwei Zero-Days werden aktiv ausgenutzt – jetzt patchen

SonicWall warnt vor zwei Schwachstellen in seinen SMA1000-VPN-Appliances, die bereits aktiv angegriffen werden. Verkettet erlauben sie einem nicht angemeldeten Angreifer aus dem Internet die vollständige Übernahme des Geräts mit root-Rechten. Einen Workaround gibt es nicht – nur das Einspielen der Hotfixes hilft. Wer eine SMA1000-Appliance für Remote-Zugriff betreibt, muss sofort handeln.

Was ist passiert?

Das MDR-Team von Rapid7 hat zwei bislang unbekannte Zero-Day-Lücken in SonicWall-SMA1000-Appliances entdeckt, die bereits vor der Veröffentlichung gezielt ausgenutzt wurden. SonicWall hat die aktive Ausnutzung bestätigt.

• CVE-2026-15409 (CVSS 10,0, kritisch): eine Server-Side-Request-Forgery-Lücke (SSRF) in der Work-Place-Oberfläche. Sie ist ohne Anmeldung über das Netzwerk ausnutzbar und erlaubt einem Angreifer, die Appliance zu Anfragen an interne, weniger geschützte Dienste zu zwingen.
• CVE-2026-15410 (CVSS 7,2, hoch): eine Code-Injection-Schwachstelle in der Management-Konsole. Sie setzt eigentlich Administratorrechte voraus, führt aber zur Befehlsausführung mit root-Rechten.

Der Angriff läuft in Kombination: Über die SSRF-Lücke erreichen Angreifer interne Dienste ohne Zugangsdaten und hebeln darüber die zweite Schwachstelle aus. Ergebnis ist die vollständige Kompromittierung der Appliance. Die US-Behörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen; für US-Bundesbehörden gilt eine Frist bis zum 17. Juli 2026.

Wer ist betroffen?

Betroffen sind ausschließlich die Appliances der SMA1000-Serie – konkret die Modelle 6210, 7210 und 8200v – mit folgenden Firmware-Ständen:

• 12.4.3-03434 und älter (Zweig 12.4.3)
• 12.5.0-02800 und älter (Zweig 12.5.0)

Für kleine und mittlere Unternehmen ist das relevant, weil SMA-Appliances häufig als zentraler VPN- und Remote-Access-Zugang ins Firmennetz dienen. Genau diese Geräte stehen per Definition direkt im Internet – und werden hier ohne Anmeldung angegriffen. Nicht betroffen sind die separaten SMA-100-Serie und die SonicWall-Firewalls; wer keine SMA1000-Appliance einsetzt, ist von dieser Warnung nicht berührt.

Was jetzt zu tun ist

1. Sofort patchen: Firmware auf 12.4.3-03453 bzw. 12.5.0-02835 oder neuer aktualisieren. Das ist die einzige wirksame Maßnahme – es gibt keinen Workaround.
2. Kompromittierung prüfen: Log- und Zugriffsdaten der Appliance auf Auffälligkeiten seit den letzten Wochen durchsehen, da die Lücken bereits vor der Veröffentlichung ausgenutzt wurden.
3. Bei Verdacht: Gerät neu aufsetzen: Bestätigt sich ein Einbruch, die Appliance neu einspielen (re-image), alle Zugangsdaten zurücksetzen und die TOTP-/MFA-Token neu ausrollen.
4. Angriffsfläche verkleinern: Den administrativen Zugriff auf die Management-Konsole auf vertrauenswürdige Netze beschränken und nicht benötigte Dienste deaktivieren.
5. Zugänge überwachen: VPN-Anmeldungen und Admin-Zugriffe nach dem Patch weiter beobachten, um nachträgliche Missbrauchsversuche zu erkennen.

So hilft Binary System Services

Wir behalten Ihre am Internet erreichbaren Systeme wie VPN- und Firewall-Appliances im Blick, spielen kritische Sicherheitsupdates zeitnah und überwacht ein und prüfen im Ernstfall auf Anzeichen einer Kompromittierung. Bei einer akut ausgenutzten Lücke wie dieser übernehmen wir das schnelle Patchen und die forensische Kontrolle, damit aus einer Warnung kein Sicherheitsvorfall wird. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.