Zwei Zero-Day-Lücken in SonicWall SMA 1000 für Remote-Codeausführung ohne Authentifizierung verkettet

SonicWall hat zwei Zero-Day-Schwachstellen in seinen Geräten der SMA-1000-Serie offengelegt, die Angreifer aktiv verketten, um eine Remote-Codeausführung ohne Authentifizierung (RCE) zu erreichen — das heißt, ein Angreifer kann die volle Kontrolle über das Gerät erlangen, ohne sich jemals anzumelden. Die schwerwiegendere Lücke, CVE-2026-83548, ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF) vor der Authentifizierung in der Work-Place-Oberfläche des Geräts und erhält den höchstmöglichen CVSS-Wert von 10,0. Die zweite, CVE-2026-83549, ist eine Betriebssystem-Command-Injection-Schwachstelle nach der Authentifizierung in der Appliance Management Console (AMC), bewertet mit 7,8.

Für sich genommen ist jede Lücke ernst, aber begrenzt. Zusammen ergeben sie einen vollständigen Kompromittierungspfad: Der Angreifer nutzt die nicht authentifizierte SSRF-Lücke, um intern auf die Management-Konsole zuzugreifen, und bewegt sich dann über die Command-Injection-Lücke, um beliebige Betriebssystembefehle auszuführen — alles ohne gültige Zugangsdaten. SonicWall erklärte, man habe „einen Fall untersucht, der auf die aktive Ausnutzung der Schwachstellen hindeutet", und bestätigte damit, dass Angreifer diese Kette bereits in der Praxis einsetzen und es sich nicht nur um ein theoretisches, von Forschern aufgezeigtes Risiko handelt.

Die Schwachstellen betreffen die Modelle 6210, 7210 und 8200v der SMA-1000-Serie, die mit den Platform-Hotfix-Versionen 12.4.3-03453 oder 12.5.0-02835 und älter laufen. SonicWall hat behobene Versionen veröffentlicht — 12.4.3-03526 und 12.5.0-02952 — und drängt Kunden, sofort zu aktualisieren, statt auf ein geplantes Wartungsfenster zu warten. Die Lücken wurden intern von den SonicWall-Forschern William Perry und Adam Babis entdeckt.

SMA-Geräte sitzen typischerweise am Netzwerkrand und verwalten in der Regel den sicheren Fernzugriff und die VPN-Verbindungen der Mitarbeiter einer Organisation. Das macht sie zu einem wertvollen Ziel: Ein kompromittiertes SMA-Gerät kann einem Angreifer einen tiefen Zugang ins Unternehmensnetzwerk verschaffen und dabei die internen Sicherheitsebenen umgehen, die normalerweise zwischen einem externen Angreifer und sensiblen Systemen stehen. Es ist zudem nicht der erste SMA-Vorfall für SonicWall in diesem Jahr — die Offenlegung erfolgt rund einen Monat, nachdem das Unternehmen zwei weitere SMA-Lücken, CVE-2026-15409 und CVE-2026-15410, gepatcht hatte, die der als UTA0533 bekannte Bedrohungsakteur ausnutzte, um die maßgeschneiderte Malware KNUCKLEBALL einzuschleusen.

Über das Patchen hinaus empfiehlt SonicWall Administratoren, aktiv nach Anzeichen einer früheren Kompromittierung zu suchen, statt nach dem Update automatisch von einem sauberen Zustand auszugehen. Die Anweisungen des Unternehmens für Organisationen, die Kompromittierungsindikatoren finden, sind ungewöhnlich deutlich: das betroffene Gerät vollständig neu aufsetzen oder neu bereitstellen, alle damit verbundenen Benutzer- und Administratorpasswörter zurücksetzen und sämtliche zeitbasierten Einmalpasswort-Seeds (TOTP) zurücksetzen. Dieses Ausmaß an Nachbesserung zeigt, wie viel Vertrauen ein kompromittiertes Randgerät still und leise anhäufen kann, bevor es jemand bemerkt — Sitzungstoken, zwischengespeicherte Zugangsdaten und TOTP-Seeds lassen sich durch ein bloßes Neuaufsetzen nicht zwangsläufig vollständig entfernen, wenn der Angreifer Zugriff auf die Konsole hatte.

Organisationen, die eines der betroffenen SMA-1000-Modelle betreiben, sollten dies als Notfall-Patch behandeln, nicht als Routine-Update: den Hotfix sofort einspielen und die Protokolle auf das von SonicWall beschriebene Ausnutzungsmuster prüfen, selbst wenn das Gerät scheinbar normal funktioniert.

Wie zuerst berichtet von The Hacker News.