Zwei unbekannte Lücken: So fiel SonicWalls SMA1000

Das Sicherheitsteam von SonicWall hat bei einem Kunden einen Angriff auf SMA1000-Zugangstore untersucht und zwei unbekannte Lücken gefunden. Angreifer reihten eine Lücke ohne Anmeldung im Mitarbeiterportal WorkPlace mit Befehlsausführung in der Verwaltungskonsole aneinander. Zum 1. September 2026 machte der Hersteller diesen untersuchten Kundenfall zum Auslöser der Advisory-Veröffentlichung.

Verwandt: SMA-Hotfix reicht nicht: sieben Checks  ·  Cisco ASA: SSL-VPN-DoS steht jetzt in KEV

SMA1000 als Zugangstor

Die SMA1000 ist SonicWalls Appliance für den Remote-Zugang von außen zu Firmennetzen. Sie stellt das Portal WorkPlace und SSL-VPN, also verschlüsselten Fernzugriff, für Außenstehende bereit.

WorkPlace ist das Portal, über das Mitarbeiter von außen auf Firmenanwendungen zugreifen. Die Oberfläche steht im Internet, weil genau diese Außenzugriffe dort ankommen.

Angreifer erreichen dasselbe Portal ohne eine besondere Position im Firmennetz.

SonicWall nennt als betroffen die Modelle 6210 und 7210, physisch wie virtuell.

Dazu kommen virtuelle 8200v-Instanzen auf allen Hypervisoren, also Virtualisierungsplattformen. Das Advisory begrenzt den Auftrag auf diese SMA1000-Reihe und nimmt andere SonicWall-Zugangsprodukte aus.

WorkPlace stellt interne Anfragen

SonicWall verortet die Lückennummer CVE-2026-83548 im Mitarbeiterportal WorkPlace der SMA1000. Ein Angreifer ohne Anmeldung kann das Portal dazu bringen, in seinem Namen interne Anfragen zu stellen.

Der Hersteller bezeichnet CVE-2026-83548 als vorauthentisierte SSRF über einen unbeabsichtigten Forward-Proxy: WorkPlace reicht Anfragen weiter, die ein Angreifer anstößt.

So erreicht er Funktionen, die ihm nach den Zugangsregeln der Appliance verschlossen bleiben. Damit beginnt die beobachtete Kette bereits im aus dem Internet erreichbaren WorkPlace.

Angreifer starten Befehle in der Konsole

SonicWall verortet CVE-2026-83549 in der Appliance Management Console, der Verwaltungsoberfläche für Administratoren. Wer dort als Administrator angemeldet ist, kann Betriebssystembefehle einschleusen und damit das Gerät übernehmen.

Dafür muss bereits eine Administratorsitzung in der Appliance Management Console bestehen.

Beide Lücken zusammen führen von außen bis auf das Betriebssystem.

Das Fachmagazin SecurityWeek beschreibt den beobachteten Fall als Kette beider Lücken. Den genauen Ablauf hat SonicWall nicht veröffentlicht.

SonicWall veröffentlichte das Advisory SNWLID-2026-0016 am 1. September 2026 und spricht darin von einem untersuchten Fall an SMA1000-Geräten.

Juli-Hotfix steht wieder auf der Liste

Im Juli beschrieb SecurityToday bereits eine andere Angriffskette auf SMA1000-Geräte. Jenes frühere Advisory trug andere CVE-Nummern als das jetzige SNWLID-2026-0016.

Der im Juli eingespielte Hotfix-Stand steht jetzt unter den betroffenen Versionen.

Die Juli-Kette mit CVE-2026-15409 und CVE-2026-15410 bleibt ein eigener Vorfall mit eigenem Hotfix.

Die vier Nummern gehören zu zwei getrennten Advisories, für jede Kette gibt es einen eigenen Hotfix-Stand.

Shadowserver zählt in einem Internetscan über 400 erreichbare SMA1000-Geräte und unterscheidet dabei keine Patch-Stände. Ein Teil der gezählten Geräte kann den neuen Hotfix bereits tragen.

Das Advisory von SonicWall drängt auf den Hotfix, ein außerplanmäßiges Update. Die Hotfix-Stände liegen im Kundenkonto auf mysonicwall.com, einen öffentlichen Direktlink gibt es nicht.

CISA nimmt beide Nummern auf

Die US-Behörde CISA führt einen Katalog bekannter ausgenutzter Lücken (KEV) und setzt damit Patchfristen für US-Zivilbehörden. Am 2. September 2026 nahm sie CVE-2026-83548 und CVE-2026-83549 auf.

Ein KEV-Eintrag stellt die Ausnutzung behördlich fest, technische Details zum Kundenfall enthält er nicht.

Die SMA1000-Kette reiht CISA damit in eine bestehende Serie von SonicWall-Fällen. Vor diesem Paar führte die Behörde bereits 17 andere SonicWall-Produkteinträge im KEV-Katalog.

Für US-Zivilbehörden lief die Frist am 5. September 2026 ab.

Der Hotfix belässt bestehende Zugänge

Der neue Hotfix verhindert die nächste Ausnutzung der beiden Lücken. Einen bereits bestehenden Zugang auf dem Gerät entfernt das Update nicht.

Öffentliche Indikatoren für eine Kompromittierung, also eine erfolgte Übernahme, nennt SonicWall nicht. Fehlende Treffer in eigenen Logs sind deshalb keine Entwarnung.

Bei Verdacht verlangt SonicWall ein neu aufgesetztes Gerät mit neuen Passwörtern und zurückgesetzten TOTP-Token, also den Einmalcode-Generatoren der Anmeldung. Für die Spurensuche empfiehlt der Hersteller den Support.

Als Nächstes entscheiden Betreiber mit dem SonicWall-Support über Neuaufsetzen oder allein den Hotfix. Welche Spuren der untersuchte Kundenfall in anderen Netzen hinterlassen hat, ist nicht bekannt.

Häufige Fragen

Gilt SNWLID-2026-0016 auch für Firewall-SSL-VPN und die SMA-100-Serie?

Das Advisory nimmt SSL-VPN auf SonicWall-Firewalls und die SMA-100-Serie ausdrücklich aus. Die Namensähnlichkeit zwischen SMA1000 und SMA 100 ändert daran nichts.

Gibt das Advisory einen Workaround für WorkPlace oder die Konsole?

Nein. Für die neuen Lücken gibt es keinen Workaround und keine ausgleichende Konfiguration an WorkPlace oder Konsole.

Was folgt für einen Betreiber in Deutschland aus dem CISA-Katalog?

Die US-Behörde CISA setzt mit dem Katalog Patchfristen für US-Zivilbehörden. Für einen deutschen Betreiber bestätigt der Eintrag amtlich die Nutzung der Kette. SonicWall hat denselben Sachverhalt im Advisory bereits als untersuchten Ausnutzungsfall geführt.

Lesetipps der Redaktion

LesetippCISA listet Ray: Browser starten Cluster-Jobs ohne LoginLesetippLoadMaster in der KEV-Liste: Patch liegt seit Juni bereitLesetippZimbra: Eine Mail reicht bei SNMP

Mehr aus dem MBF Media Netzwerk

cloudmagazinVMware ist weg, das Backup nicht mitgezogenMyBusinessFutureE-Evidence: Zehn Tage, dann liegen Mails beim StaatDigital ChiefsWarum KI an den Stammdaten scheitert

Bildquelle: KI-generiert (September 2026)