Kritische Zero-Day-Lücken in SonicWall SMA1000 Serie bedrohen Unternehmensnetze weltweit

SonicWall bestätigt mehrere kritische Sicherheitslücken in seiner Secure Mobile Access (SMA) 1000 Serie. Der Hersteller bestätigt die aktive Ausnutzung von zwei Zero-Day-Schwachstellen mit den Kennungen CVE-2026-15409 und CVE-2026-15410. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat beide CVEs in ihren Katalog der aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities – KEV) aufgenommen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass SonicWall in seinem Advisory von „zahlreichen Fällen“ spricht, die auf eine Ausnutzung der Schwachstellen schließen lassen.

Kombinierte Attacken mit maximalem Risiko

CVE-2026-15409 hat einen CVSS-Score von 10,0. Es handelt sich um eine Server-Side Request Forgery (SSRF), die es einem nicht-authentifizierten, entfernten Angreifer erlaubt, die Appliance dazu zu bringen, Anfragen an Ziele im internen Netzwerk weiterzuleiten. CVE-2026-15410 ist eine Remote Code Execution (RCE) mit einem CVSS-Score von 7,2.

Diese Schwachstelle erlaubt einem authentifizierten Angreifer die Ausführung von Betriebssystembefehlen mit Administratorrechten auf der Appliance.

Sicherheitsexperten und Behörden beschreiben, dass Angreifer diese Schwachstellen kombinieren können, um die Möglichkeiten eines initialen, nicht-authentifizierten Zugriffs mit einer Erweiterung der Rechte auf der Appliance zu verknüpfen. Angriffe, die diese Methode nutzen, beobachten Fachleute mindestens seit dem 22. Juni 2026.

Die Liste der Schwachstellen wächst

Die aktuelle Bedrohung durch CVE-2026-15409 und CVE-2026-15410 ist nicht der erste Vorfall, der die SMA1000-Serie betrifft. Bereits im Januar 2025 wurde die Pre-authentication Remote Command Execution CVE-2025-23006 (CVSS 9,8) bekannt und aktiv ausgenutzt. Auch hierfür stellte SonicWall Patches bereit.

Im September 2026 bestätigt SonicWall, dass Angreifer vor der Patch-Veröffentlichung zwei Zero-Day-Lücken (SNWLID-2026-0016) kombinierten. Diese sind als CVE-2026-83548 (SSRF, CVSS 10,0) und CVE-2026-83549 (OS-Command-Injection) bezeichnet. Analysen zeigen Überschneidungen in der Beschreibung der Lücken, wobei unterschiedliche CVE-IDs und teils abweichende Patch-Stände dokumentiert sind.

Betroffen von den jüngsten Schwachstellen (CVE-2026-15409 und CVE-2026-15410) sind SMA1000-Modelle (6210, 7210, 8200v und CMS) mit den Firmware-Versionen 12.4.3-03245, 12.4.3-03387, 12.4.3-03434 sowie 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800. Die Patches sind in den Versionen 12.4.3-03453 und höher sowie 12.5.0-02835 und höher verfügbar.

Globale Kampagnen und gestohlene Daten

Berichte zu Angriffskampagnen zeigen eine weltweite Reichweite. Ein von Hunt.io beobachteter Angriff verarbeitete über 250 einzelne Zielsysteme. Bei 168 Geräten konnten Verzeichniskonfigurationen abgerufen werden.

Die Angreifer sicherten 534 Konfigurationsdatensätze aus 160 verschiedenen Active-Directory-Domänen, erbeuteten 255 interne Verzeichnisserveradressen und gewannen aus neun Active-Directory-Domänen Passwort-Hashes. In fünf Unternehmensdomänen gelang eine vollständige Verzeichnissynchronisation, wodurch Tausende Konten betroffen waren.

Betroffene Organisationen umfassen unter anderem Kommunalverwaltungen, Gesundheitsnetzwerke, Finanzinstitute, Universitäten und Fertigungsunternehmen in mehreren Ländern. Namentlich genannt wird die Gemeindeverwaltung King’s Lynn and West Norfolk im Vereinigten Königreich. Im Juli 2026 berichten Incident-Response-Teams über die Exfiltration von MFA-Seeds aus SMA1000-Geräten.

Berichten zufolge blieben diese Seeds auch nach Anwendung bestimmter Patches gültig.

Dringende Handlungsempfehlungen und Ausblick

SonicWall hat Patches für die betroffenen Firmware-Versionen bereitgestellt und rät zur sofortigen Aktualisierung aller betroffenen Appliances. Zudem empfiehlt der Hersteller, bei Nachweisen einer Kompromittierung die Appliances neu aufzusetzen, alle Benutzer- und Administratorenpasswörter zu ändern und TOTP-Tokens zurückzusetzen. Eine gründliche forensische Analyse ist ebenfalls durchzuführen.

Die US-amerikanische CISA setzte eine Frist für bestimmte Behörden zur Behebung der Schwachstellen bis zum 17. Juli 2026.

Das BSI fordert IT-Sicherheitsverantwortliche dazu auf, Schutzmaßnahmen umzusetzen und forensische Untersuchungen schnellstmöglich einzuleiten. Betreiber sollten von einer Kompromittierung ausgehen, sofern dies nicht durch die Prüfung relevanter Indikatoren ausgeschlossen werden kann. NHS England National CSOC bewertet eine zukünftige Ausnutzung dieser Schwachstellen als sehr wahrscheinlich.

Der Cyber Resilience Act (CRA) tritt am 11. September 2026 in Kraft. Er sieht Meldepflichten für aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden sowie Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor.

Die wiederholten Schwachstellen der SMA1000-Serie haben in Behörden und bei Incident-Response-Teams Fragen zu Sicherheitsarchitektur und Patch-Management aufgeworfen. Die weitere Entwicklung der Bedrohungslage und die Reaktion der Hersteller auf solche Vorfälle bleiben für die Cybersicherheit von Unternehmen und kritischen Infrastrukturen entscheidend.