SonicWall veröffentlichte die Fehlerbehebungen für CVE-2026-15409 und CVE-2026-15410 Mitte Juli. Gleichzeitig warnte der Hersteller, dass Bedrohungsakteure die Lücken bereits in Zero-Day-Angriffen ausnutzten. Damals erklärte SonicWall, das eigene PSIRT habe mehrere Fälle untersucht, die auf eine aktive Ausnutzung der in dem Hinweis beschriebenen Schwachstellen hindeuteten, und forderte Kunden zu einem schnellen Upgrade auf die Hotfix-Version auf.
Später legte das Incident-Response-Unternehmen Volexity nach: Demnach begann ein als UTA0533 verfolgter Akteur schon ab dem 22. Juni mit der Ausnutzung der Schwachstellen – also Wochen bevor SonicWall sie öffentlich machte. Laut Volexity diente der Angriff dazu, auf verwundbaren VPN-Appliances maßgeschneiderte Malware mit den Namen KNUCKLEBALL, Sou5, ROOTRUN und ORANGETAIL zu installieren.
Wie groß die potenzielle Angriffsfläche noch ist, zeigt ein aktueller Überblick von Shadowserver. Der Internet-Sicherheitsdienst erfasst derzeit mehr als 380 online erreichbare SMA1000-Appliances. Allerdings könnten einige davon bereits gegen Angriffe abgesichert worden sein.
CISA nahm beide Schwachstellen am 14. Juli in den Known-Exploited-Vulnerabilities-Katalog auf. Die Behörde ordnete an, dass Behörden der Federal Civilian Executive Branch ihre Systeme innerhalb von drei Tagen patchen müssen. Zur Begründung erklärte CISA, diese Art von Schwachstelle sei ein häufiger Angriffsvektor böswilliger Cyberakteure und berge erhebliche Risiken für die Bundesverwaltung.
Bemerkenswert ist dabei die Rollenverteilung zwischen Hersteller und Behörde: SonicWall hat seinen ursprünglichen Hinweis bislang nicht aktualisiert, um ausdrücklich zu bestätigen, dass CVE-2026-15409 und CVE-2026-15410 in Ransomware-Angriffen missbraucht werden. CISA hat die beiden Einträge im KEV-Katalog inzwischen jedoch in aktuellen Änderungen als von Ransomware-Gruppen ausgenutzt markiert.
Der aktuelle Fall reiht sich in eine Serie weiterer Warnungen rund um SonicWall-Produkte ein. Im Dezember forderte das Unternehmen Kunden auf, eine weitere Schwachstelle mit der Kennung CVE-2025-40602 in der SonicWall SMA1000 Appliance Management Console zu schließen. Diese Lücke sei von Hackern in Zero-Day-Angriffen verkettet worden, um Root-Rechte zu erlangen.
Bereits einen Monat zuvor hatte SonicWall laut eigener Mitteilung staatlich unterstützte Hacker mit einer Sicherheitsverletzung im September in Verbindung gebracht. Dabei wurden Sicherungsdateien von Firewall-Konfigurationen von Kunden offengelegt, nachdem Forscher vor mehr als 100 kompromittierten SonicWall-SSLVPN-Konten durch gestohlene Zugangsdaten gewarnt hatten. Im September veröffentlichte das Unternehmen außerdem ein Firmware-Update, das bei der Entfernung der Rootkit-Malware OVERSTEP helfen sollte, die in Angriffen auf Geräte der SMA-100-Serie eingesetzt wurde.