Nach Angaben von SonicWall wurden in Global Management System sechs Schwachstellen geschlossen. Besondere Aufmerksamkeit verdienen laut Hersteller CVE-2026-66147 mit einem CVSS-Wert von 9,4 und CVE-2026-66145 mit einem CVSS-Wert von 9,1. Beide Fehler könnten von entfernten, nicht authentifizierten Angreifern für die Ausführung beliebigen Codes missbraucht werden.
CVE-2026-66147 beschreibt SonicWall als Command-Injection-Schwachstelle im GMS Dispatcher Service, die sich über präparierte Anfragen ausnutzen lässt. Bei CVE-2026-66145 handelt es sich um eine Schwachstelle zur Remotecodeausführung, die zudem zur Offenlegung sensibler Daten und zu beliebigen Dateischreibvorgängen über Zip Slip führen kann.
Betroffen sind laut Hersteller GMS-Version 9.5.1 und ältere Fassungen für Virtual Appliance und Windows. Die Korrekturen hat SonicWall in GMS 9.5.2 bereitgestellt. Darüber hinaus behebt das Update zwei Schwachstellen mit hohem Schweregrad bei der unzureichenden Zertifikatsvalidierung sowie bei der unsicheren Verarbeitung serialisierter Objekte. Diese Fehler könnten zu nicht autorisierten Änderungen und Aktionen führen.
Ebenfalls am Dienstag hat SonicWall Patches für zwei hoch eingestufte Code-Injection-Lücken in Email Security veröffentlicht. Die Schwachstellen CVE-2026-66149 und CVE-2026-66150 könnten nach Angaben des Unternehmens zur Ausführung von Betriebssystembefehlen mit Root-Berechtigungen führen.
Die beiden Fehler betreffen ES Appliance 5000, 5050, 7000, 7050 und 9000 sowie Bereitstellungen auf VMware und Hyper-V. Beheben lassen sie sich mit Email Security Version 10.0.36.
SonicWall erklärt, es gebe keine Belege dafür, dass eine der Schwachstellen bereits außerhalb kontrollierter Umgebungen ausgenutzt wurde. Weitere Einzelheiten verweist das Unternehmen auf seine Sicherheitswarnungen.