SonicWall hat am 14. Juli 2026 zwei Schwachstellen in der SMA1000-Serie öffentlich gemacht, die zu diesem Zeitpunkt bereits seit Wochen angegriffen wurden. Wer eine solche Appliance betreibt und nicht sofort gepatcht hat, muss von einer möglichen Kompromittierung ausgehen. Ein reines Update genügt in diesem Fall nicht.

Was ist passiert?

Die SMA1000-Serie ist eine Fernzugriffslösung, über die Beschäftigte von außen ins Firmennetz kommen. Solche Geräte stehen per Definition am Netzrand und sind aus dem Internet erreichbar, was sie zu einem beliebten Ziel macht.

Betroffen sind die Modelle 6210, 7210 und 8200v. SonicWall beschreibt zwei Lücken:

• CVE-2026-15409, eine Server-Side Request Forgery im Work Place Interface mit dem CVSS-Höchstwert 10.0. Ein Angreifer ohne Zugangsdaten bringt die Appliance dazu, Verbindungen zu Diensten aufzubauen, die eigentlich nur lokal erreichbar sein sollten.
• CVE-2026-15410, eine Command Injection in der Appliance Management Console mit CVSS 7.2. Sie setzt eine Anmeldung voraus und erlaubt die Ausführung beliebiger Betriebssystembefehle.

Getrennt betrachtet wirkt die zweite Lücke harmlos, weil sie eine Authentifizierung braucht. In Kombination ergibt sich jedoch eine Codeausführung als root, ganz ohne gültige Zugangsdaten. Genau diese Kette haben Angreifer genutzt.

Das BSI hat die Warnung am 14. Juli veröffentlicht und seitdem zweimal aktualisiert, zuletzt am 22. Juli, und stuft die Kritikalität mit 3 ein. Die US-Behörde CISA hat beide Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen und den US-Bundesbehörden eine Frist bis zum 17. Juli 2026 gesetzt.

Wie der Angriff abläuft

Rapid7 hat am 15. Juli technische Details und einen Proof-of-Concept für CVE-2026-15409 veröffentlicht. Damit ist die Einstiegshürde für weitere Angreifer sehr niedrig. Volexity legte am 17. Juli eine Analyse aus einem konkreten Vorfall nach und verfolgt den Akteur unter der Bezeichnung UTA0533. Der früheste beobachtete Kompromittierungszeitpunkt liegt beim 22. Juni 2026, also gut drei Wochen vor dem Patch.

Der Ablauf laut Volexity in Kurzform:

• Der Angreifer schickt eine unauthentifizierte Anfrage an den Endpunkt /wsproxy. Erkennungsmerkmale sind der User-Agent SMA Connect Agent und ein Parameter bmID, der mit -3389 beginnt.
• Die Appliance baut daraufhin einen WebSocket-Tunnel zu Diensten auf, die nur auf localhost lauschen sollten, darunter die mitgelieferte CouchDB-Datenbank auf Port 1050 und der Steuerdienst auf Port 8188.
• Über CouchDB legt der Angreifer ein Skript in /tmp ab und liest damit die Hardware-Kennung aus /sys/class/dmi/id/product_uuid. Aus diesem Wert leitet sich das Passwort des internen Steuerdienstes ab.
• Anschließend ruft er die Methode sysCtrl.execRemoveHotfix auf. Weil der übergebene Pfad nicht ausreichend geprüft wird, lässt sich per Verzeichniswechsel das eigene Skript ausführen, und zwar als root.

Volexity weist auf zwei weitere unangenehme Details hin. Die mitgelieferte CouchDB-Instanz nutzt die fest hinterlegten Zugangsdaten admin:admin. Und die Datei product_uuid ist auf physischen Appliances häufig auf einen Standardwert gesetzt, den mehrere Hersteller vergeben. Wer diesen Wert kennt, kommt an der Authentifizierung des Steuerdienstes vorbei, ohne überhaupt eine Lücke ausnutzen zu müssen. Virtuelle Appliances waren davon nicht betroffen.

Wer ist betroffen?

Betroffen sind Organisationen, die eine SonicWall SMA1000 der Modelle 6210, 7210 oder 8200v einsetzen. Andere Produktlinien nennt SonicWall im Advisory nicht. Wer weitere SonicWall-Systeme betreibt, sollte den Geltungsbereich trotzdem gegen das Hersteller-Advisory abgleichen.

Weil die Appliance die Anmeldungen der Belegschaft verarbeitet, geht es nicht nur um das Gerät selbst. Ein Angreifer mit Root-Rechten kommt an gespeicherte und zwischengespeicherte Zugangsdaten und kann den durchlaufenden Verkehr mitschneiden. Betroffene Unternehmen mit Meldepflichten nach NIS-2 oder KRITIS sollten außerdem prüfen, ob eine Meldung an das BSI erforderlich ist.