SonicWall SMA1000: Fehlerkette auf CISA-Liste ausgenutzter Schwachstellen überfällig

Die PSIRT-Meldung SNWLID-2026-0016 von SonicWall behandelt zwei Schwachstellen in den Secure-Remote-Access-Appliances SMA1000, die laut Hersteller aktiv ausgenutzt werden. Beide, CVE-2026-83548 und CVE-2026-83549, stehen im CISA-Katalog „Known Exploited Vulnerabilities“; die Frist für US-Bundesbehörden zur Behebung am 5. September ist bereits verstrichen.

Wie sich die beiden Schwachstellen verketten

CVE-2026-83548 (CVSS 10,0) ist eine Server-Side-Request-Forgery (SSRF) vor der Authentifizierung in der Work-Place-Oberfläche der SMA1000: Die Oberfläche legt einen unbeabsichtigten Zugriffspfad offen, der die Appliance als Forward-Proxy agieren lässt, sodass ein nicht authentifizierter Remote-Angreifer interne Funktionen erreichen kann, die von außen nicht erreichbar sein sollten. CVE-2026-83549 (CVSS 7,8) ist eine OS-Command-Injection-Schwachstelle in der Appliance-Management-Konsole, die normalerweise eine authentifizierte Administratorsitzung erfordern würde. Verkettet bringt die SSRF-Schwachstelle einen Angreifer an den Punkt, an dem die Command-Injection-Schwachstelle ohne jegliche Anmeldedaten ausgelöst werden kann, was zu nicht authentifizierter Remotecodeausführung auf aus dem Internet erreichbaren Appliances führt. Laut Berichten von Rapid7 und Sophos waren zum Zeitpunkt der Veröffentlichung kein öffentlicher Proof-of-Concept, keine Anzeichen einer Kompromittierung und keine Attribution bekannt, obwohl SonicWall bestätigt, dass die Ausnutzung stattfindet.

Betroffene Modelle und Fix

Die Schwachstellen betreffen die Appliances SMA 6210, 7210 und 8200v mit Firmware 12.4.3-03453 oder älter sowie 12.5.0-02835 oder älter. Die von SonicWall bereitgestellten Hotfixes sind 12.4.3-03526 und 12.5.0-02952; SSL-VPN auf SonicWall-Firewalls und die separate SMA-100-Serie sind nicht betroffen.

Was zu tun ist

• Jede SMA1000-Bereitstellung – physisch und virtuell – mandantenübergreifend inventarisieren; Firmware-Version und Erreichbarkeit aus dem Internet erfassen.
• Unverzüglich auf den bereitgestellten Hotfix-Build aktualisieren; angesichts der bestätigten aktiven Ausnutzung ist dies keine Situation für Workarounds und Abwarten.
• Wenn eine sofortige Aktualisierung nicht möglich ist, die Erreichbarkeit der Work-Place-Oberfläche als Zwischenschritt verringern, nicht als Ersatz für das Patchen.
• Falls Anzeichen einer Kompromittierung gefunden werden, empfiehlt SonicWall, physische Appliances neu aufzusetzen (Re-Imaging) beziehungsweise virtuelle Appliances von Grund auf neu bereitzustellen, alle Benutzer- und Administratorkennwörter zu ändern und TOTP-Token zurückzusetzen.

Die Frist der CISA am 5. September ist speziell für zivile US-Bundesbehörden verbindlich, doch angesichts der eigenen Bestätigung der aktiven Ausnutzung durch SonicWall sollten alle Betreiber von SMA1000 das Update als Patch mit sofortiger Priorität behandeln und nicht als geplante Wartungsmaßnahme.

Quellen: SonicWall-Produktmeldung, Rapid7, Sophos.