Der Netzwerksicherheitsspezialist SonicWall hat vor zwei kritischen Sicherheitslücken in seiner Secure Mobile Access (SMA) 1000 Series gewarnt, die bereits aktiv für Cyberangriffe ausgenutzt werden.
Die Schwachstellen ermöglichen es Angreifern, ohne vorherige Authentifizierung Schadcode aus der Ferne auszuführen. Da zum Zeitpunkt der ersten Angriffe keine Sicherheitsupdates zur Verfügung standen, stuft das Unternehmen die Vorfälle als Zero-Day-Exploits ein.
Verkettung von Schwachstellen ermöglicht Fernzugriff
Im Zentrum der Warnung stehen zwei spezifische Sicherheitslücken: CVE-2026-83548 und CVE-2026-83549. Die erste Schwachstelle, CVE-2026-83548, betrifft eine Pre-Auth Server-Side Request Forgery (SSRF) und wurde mit dem höchstmöglichen CVSS-Score von 10.0 bewertet. Die zweite Lücke, CVE-2026-83549, betrifft eine sogenannte OS-Command-Injection mit einem CVSS-Wert von 7.8.
Wie SonicWall bestätigte, nutzen Angreifer diese beiden Schwachstellen in einer Kette aus. Durch die Kombination der SSRF-Lücke mit der Command-Injection gelingt es den Akteuren, eine nicht authentifizierte Remote-Codeausführung (RCE) auf den betroffenen Systemen zu erzwingen. Dies bedeutet, dass externe Angreifer die vollständige Kontrolle über die Appliances übernehmen können, ohne über gültige Zugangsdaten verfügen zu müssen.
Angesichts der zunehmenden Komplexität von Cyberangriffen ist es für Unternehmen entscheidend, potenzielle Einfallstore proaktiv zu schließen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Ihre IT-Infrastruktur wirksam absichern. Gratis-E-Book: Cyber-Security-Trends für Unternehmen herunterladen
Betroffene Modelle und notwendige Sicherheitsupdates
Von den Sicherheitslücken sind verschiedene Modelle der SMA 1000 Series betroffen, darunter die physischen Appliances 6210 und 7210 sowie die virtuelle Appliance 8200v. Konkret identifizierte das Unternehmen die Firmware-Versionen 12.4.3-03453 und 12.5.0-02835 als anfällig für die beschriebenen Angriffe.
Zur Behebung der Risiken hat SonicWall Hotfixes bereitgestellt. Administratoren werden dringend aufgefordert, auf die Versionen 12.4.3-03526 oder 12.5.0-02952 zu aktualisieren. Das Unternehmen betonte, dass derzeit keine Workarounds existieren, um die Sicherheitslücken ohne die Installation eines Patches zu schließen.
Bisher hat SonicWall keine spezifischen Indicators of Compromise (IOCs) veröffentlicht, die bei der Identifizierung bereits erfolgter Angriffe helfen könnten.
Für Organisationen, bei denen eine Kompromittierung vermutet wird, empfahl das Unternehmen jedoch tiefgreifende Maßnahmen: Neben einem vollständigen Re-Image des Geräts sollten sämtliche Passwörter geändert und die Seeds für die zeitbasierte Einmalpasswort-Authentifizierung (TOTP) zurückgesetzt werden.
Wer die Sicherheit seiner geschäftlichen IT-Systeme nachhaltig stärken möchte, findet in diesem Experten-Report wertvolle Strategien gegen moderne Angriffsmethoden. Erfahren Sie, wie Sie rechtliche Anforderungen erfüllen und Sicherheitslücken ohne hohe Investitionen schließen. Kostenlosen Cyber-Security-Report jetzt sichern
Häufung von Angriffen auf VPN-Infrastruktur
Die aktuelle Entdeckung markiert die dritte Zero-Day-Kette innerhalb eines Jahres, die Geräte von SonicWall betrifft. Bemerkenswert ist dabei das technische Muster der Angriffe.
Laut Unternehmensangaben handelt es sich bereits um die zweite Zero-Day-Kette innerhalb von nur sieben Wochen, die auf einem SSRF-zu-Injection-Muster basiert. Bereits im Juli 2026 war eine ähnliche Kombination aktiv ausgenutzt worden, wobei Angreifer unter anderem TOTP-Seeds entwendeten.
Angesichts der anhaltenden Bedrohungslage gab auch NHS England eine Warnung heraus. Die Organisation schätzte weitere Angriffe auf SonicWall SMA1000-Geräte als fast sicher ein. Die wiederholte Ausnutzung ähnlicher Schwachstellenmuster unterstreicht die anhaltende Attraktivität von VPN- und Fernzugriffslösungen als Primärziel für professionelle Angreifer.
