[English]SonicWall, das CERT Austria und das BSI warnen seit dem 1. September 2026 vor zwei kritischen Schwachstellen (CVE-2026-83548, CVE-2026-83549) in der SMA1000-Series des Herstellers SonicWall. Die ungepatchten Instanzen der Secure Mobile Access (SMA)-Serie 1000 werden inzwischen angegriffen. Es stehen aber ein Sicherheitsupdate in Form von Hotfixes für die betroffenen SMA1000-Series Appliance zur Verfügung.
Was ist die SonicWall SMA1000 Series?
Die SonicWall Secure Mobile Access (SMA) 1000-Serie ist eine SonicWall-Lösung für den sicheren und skalierten Fernzugriff (VPN) von Mitarbeitern auf Unternehmensressourcen. Geeignet ist die SonicWall SMA1000 Series für mittlere bis sehr große Organisationen und Behörden, um viele externe Verbindungen zu verwalten. Die Serie umfasst physische Appliances und virtuelle Instanzen (wie SMA 6210, 7210 oder 8200v).
Die SMA1000 Series fällt immer wieder durch gravierende Schwachstellen auf. Im Juli 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Warnung Version 1.2: SonicWall SMA1000 – Zero-Day Schwachstellen aktiv ausgenutzt zu Schwachstellen und deren Ausnutzung herausgegeben. Die Schwachstellen waren zu diesem Zeitpunkt durch Sicherheitsupdates des Herstellers schließbar.
Warnung des CERT-Austria vor Angriffen
Blog-Leser Thomas Z. hat mich vor einigen Stunden per E-Mail über eine Warnung des CERT-Austria vom 2. September 2026 über Angriffe auf ungepatchte SonicWall SMA1000 Series-Instanzen informiert (danke dafür). Die Kollegen von Bleeping Computer haben dies hier ebenfalls thematisiert.
In SonicWalls SMA1000 Series Appliances existieren zwei schwerwiegende Sicherheitslücken (CVE-2026-83548, CVE-2026-83549).
- CVE-2026-83548: (CVSS 3.x Base Score 10.0, critical); In der Work-Place-Schnittstelle der SMA1000-Appliance besteht aufgrund eines unbeabsichtigten alternativen Zugriffspfads eine SSRF-Sicherheitslücke vor der Authentifizierung. Ein nicht authentifizierter Angreifer könnte diese Sicherheitslücke potenziell ausnutzen, um sich unbefugten Zugriff auf sensible Funktionen zu verschaffen und unbefugte Vorgänge auszuführen.
- CVE-2026-83549: (CVSS 3.x Base Score 7.8, high); In der SMA1000 Appliance Management Console (AMC) wurde eine Sicherheitslücke festgestellt, bei der nach der Authentifizierung spezielle Elemente, die in einem Betriebssystembefehl verwendet werden, nicht ordnungsgemäß neutralisiert werden („OS Command Injection"). Unter bestimmten Umständen könnte dies einem authentifizierten Angreifer remote ermöglichen, als Administrator beliebige Betriebssystembefehle auszuführen, was zur Ausführung von Code aus der Ferne führen könnte.
Die schwerwiegendere der beiden Schwachstellen ermöglicht es Angreifern remote und ohne Authentifizierung, die Appliance dazu zu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden (Server-Side Request Forgery).
SonicWall hat zum 1. September 2026 ein PSIRT SNWLID-2026-0016 dazu veröffentlicht und schreibt, dass die in diesem Advisory beschriebenen Schwachstellen bereits aktiv ausgenutzt werden. Vom BSI gibt es diese Warnung dazu. Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden Versionen:
- 12.4.3-03453 (platform-hotfix) und ältere Versionen.
- 12.5.0-02835 (platform-hotfix) und ältere Versionen.
Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100 Series Produktlinie nicht von diesen Schwachstellen betroffen. SonicWall stellt für betroffenen Modelle einen platform-hotfix bereit, der die Schwachstellen behebt:
- 12.4.3-03526 (platform-hotfix) und höher.
- 12.5.0-02952 (platform-hotfix) und höher.
Da keine Workarounds existieren, und SonicWall die aktive Ausnutzung der beschriebenen Lücken beobachtet hat, empfiehlt sich eine rasche Installation der verfügbaren Hot-Fixes.
MVP: 2013 – 2016
