Im Zentrum des Falls stehen die beiden Zero-Days CVE-2026-15409 und CVE-2026-15410 in SonicWall-SMA1000-Appliances. SonicWall informierte in einem öffentlichen Hinweis darüber, dass die Schwachstellen bereits aktiv ausgenutzt wurden. Laut Hersteller können nicht authentifizierte Angreifer aus der Ferne die Sicherheitslücken missbrauchen, um die Secure-Remote-Access-Appliances zu kompromittieren.

Volexity begleitete nach eigenen Angaben die Untersuchung der Vorfälle auf Herstellerseite und ordnet die Ausnutzung dem Akteur UTA0533 zu. Das Unternehmen geht davon aus, dass die Angriffe schon ab dem 22. Juni begonnen haben könnten. Am Freitag veröffentlichte Volexity Indikatoren für eine Kompromittierung sowie weitere technische Details zu den Angriffen.

Eine Verbindung von UTA0533 zu einem bereits bekannten Bedrohungsakteur hat Volexity bislang nicht hergestellt. Auch zum Motiv der Gruppe machte das Unternehmen keine abschließenden Angaben. Volexity beschreibt den Ablauf jedoch so, dass die Aktivität eher zu staatlich unterstützten APT-Operationen passe als zu einer gewinnorientierten cyberkriminellen Kampagne.

Nach der erfolgreichen Kompromittierung der SonicWall-Appliances setzten die Angreifer eine maßgeschneiderte Malware mit dem Namen KnuckleBall ein. Diese injizierte zwei weitere Werkzeuge in legitime Prozesse: die angepasste Java-Webshell OrangeTail sowie den Open-Source-Proxy Suo5.

Zu den möglichen Folgen eines Root-Zugriffs erklärte Volexity: „Mit Root-Zugriff konnte der Bedrohungsakteur auf gespeicherte oder zwischengespeicherte Zugangsdaten zugreifen, Netzwerkverkehr mitschneiden und möglicherweise Zugangsdaten abfangen, die von den Appliances verarbeitet wurden.“ Zugleich schränkte das Unternehmen ein, dass die vorhandenen Belege darauf hindeuteten, dass UTA0533 zwar erhebliche Fähigkeiten bei der Kompromittierung der SonicWall-Appliances gezeigt habe, jedoch weniger erfolgreich bei lateralen Bewegungen oder beim Zugriff auf andere Systeme gewesen sei.

Auch die US-Behörde CISA hat reagiert und CVE-2026-15409 sowie CVE-2026-15410 in ihren KEV-Katalog aufgenommen. Nach den im Quelltext genannten Angaben enthält dieser derzeit 17 Schwachstellen, die SonicWall-Produkte betreffen.

SonicWall hat für die beiden Lücken Hotfix-Releases bereitgestellt. Damit liegt für betroffene SMA1000-Systeme eine vom Hersteller veröffentlichte Korrektur vor, nachdem die Schwachstellen laut SonicWall und Volexity bereits über Wochen in laufenden Angriffen eingesetzt worden waren.