SonicWall hat am 1. September 2026 zwei Schwachstellen in seinen SMA-1000-Appliances offengelegt, die laut Hersteller bereits aktiv ausgenutzt werden. Verkettet ergeben sie eine unauthentifizierte Remote-Code-Execution – ein Vollzugriff auf das VPN-Gateway ohne gültige Zugangsdaten.
Die beiden Lücken im Detail
CVE-2026-83548 ist eine pre-auth Server-Side Request Forgery (SSRF) im „Work Place“-Interface und erreicht mit CVSS 10.0 den Höchstwert. Sie erlaubt unauthentifizierten Angreifern Zugriff auf sensible Funktionen. CVE-2026-83549 (CVSS 7.8) ist eine OS-Command-Injection in der Appliance Management Console (AMC), die ein als Administrator authentifizierter Angreifer für beliebige Systembefehle nutzen kann. In Kombination lässt sich die Authentifizierung umgehen und daraus eine unauthentifizierte RCE bauen. SMA-1000-Geräte sind als VPN- und Zugangs-Gateways typischerweise direkt aus dem Internet erreichbar, was ihre Kompromittierung besonders folgenreich macht: Wer die Appliance kontrolliert, sitzt am Perimeter des Firmennetzes.
Betroffene und gepatchte Versionen
- Betroffen: SMA-1000-Modelle 6210, 7210 und 8200v mit Firmware 12.4.3-03453 bzw. 12.5.0-02835 und älter
- Gepatcht: Hotfix 12.4.3-03526 bzw. 12.5.0-02952 und höher
- Nicht betroffen: SMA-100-Serie sowie SSL-VPN auf SonicWall-Firewalls
- To-do: Sofort auf die Hotfix-Version aktualisieren, AMC-Zugang vom Internet abschotten, Logs auf Kompromittierung prüfen
Aktive Ausnutzung bestätigt
Das SonicWall PSIRT gibt an, einen Fall aktiver Ausnutzung untersucht zu haben, und drängt Kunden zum sofortigen Update. Die CISA hat beide CVEs am 3. September 2026 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen. Wichtig: Der Vorfall ist nicht identisch mit dem älteren Juli-Fall (CVE-2026-15409/15410). Da SonicWall keine Kompromittierungsindikatoren (IoCs) veröffentlicht hat, sollten Betreiber nach dem Update von einer möglichen Vorab-Kompromittierung ausgehen und Zugangsdaten sowie Sitzungen zurücksetzen.
Quellen: SonicWall PSIRT (SNWLID-2026-0016) · BleepingComputer · The Hacker News · SecurityWeek
