Auf den Punkt: Zwei kritische Lücken in SonicWall SMA1000 (CVE-2026-15409 SSRF mit CVSS 10.0, CVE-2026-15410 Code-Injection mit CVSS 7.2) werden produktiv ausgenutzt; Hotfixes verfügbar, Forensik notwendig.
SonicWall warnt vor zwei kritischen Schwachstellen in der SMA1000 Series (Modelle 6210, 7210, 8200v), die bereits aktiv ausgenutzt werden. Die Lücken ermöglichen unauthentifizierten Remote-Attacken und Code-Execution auf der Management-Konsole.
Schwachstellen und Auswirkungen
CVE-2026-15409 ist eine Server-Side-Request-Forgery (SSRF) im Workplace-Interface der SMA1000, die einen unauthentifizierten Angreifer ohne vorherige Authentifizierung befähigt, die Appliance zu veranlassen, serverseitig Anfragen an interne, normalerweise nicht erreichbare Endpunkte zu senden. Der CVSS Base Score beträgt 10.0. CVE-2026-15410 betrifft die Appliance Management Console (AMC) und erlaubt es einem authentifizierten Administrator mit improper Code-Generation beliebige Betriebssystembefehle auszuführen (CVSS Base Score 7.2).
Betroffene Versionen
Die Schwachstellen treffen die Modelle 6210, 7210 und 8200v in den Versionen 12.4.3-03245 bis 12.4.3-03434 sowie 12.5.0-02283 bis 12.5.0-02800. SSL-VPN auf SonicWall-Firewalls und die SMA 100 Series sind nicht betroffen. Der Hersteller bestätigt aktive Ausnutzung in der Praxis.
Updates und Forensik
SonicWall stellt platform-hotfixes bereit: Version 12.4.3-03453 und höher sowie 12.5.0-02835 und höher. Ein Workaround existiert nicht. Über mysonicwall.com sind die Patches verfügbar. Bei festgestellter aktiver Ausnutzung sollten Systeme auf Indicators of Compromise überprüft werden: Einträge in extraweb_access.log mit Anfragen an /__api__/login oder /__api__/logout (HTTP 200), Anfragen an /wsproxy mit auffälligen Host-Parametern (HTTP 101), Hotfix-Rollbacks mit Path-Traversal-Namen in ctrl-service.log sowie verdächtige Routen in /var/lib/unit/conf.json.
Incident Response
Werden IOCs identifiziert, empfiehlt SonicWall das sofortige Neuaufsetzen betroffener Appliances (Hardware: re-image, virtuell: re-deploy), den Wechsel aller Benutzer- und Administrator-Passwörter sowie das Zurücksetzen von TOTP-Token. CERT.at unterstreicht die Notwendigkeit aktueller Software und automatischer Updates mit regelmäßigen Neustarts.
Quelle: www.cert.at · Erschienen 15. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.