SonicWall hat außerplanmäßige Sicherheitsupdates für seine VPN-Appliances der Serie Secure Mobile Access (SMA) 1000 bereitgestellt. Zwei Schwachstellen in den Geräten wurden bereits vor Verfügbarkeit der Patches angegriffen – klassische Zero-Days also, deren Ausnutzung der Hersteller selbst dokumentiert.
Aufgefallen sind die Fehler nicht externen Forschern, sondern dem Anbieter selbst: SonicWall führt William Perry und Adam Babis als Entdecker der beiden Lücken an. Zur Angriffslage teilte das Unternehmen mit, es habe „einen Fall untersucht, der auf die aktive Ausnutzung der Schwachstellen hindeutet". Der Formulierung zufolge kombinieren Angreifer beide Fehler zu einer Kette, an deren Ende die Ausführung beliebigen Codes auf den betroffenen Systemen steht.
Betroffen sind die SMA-1000-Modelle 6210, 7210 und 8200v. Abhilfe schaffen die Fassungen 12.4.3-03526 (platform-hotfix) sowie 12.5.0-02952 (platform-hotfix). Ergänzend zu den Updates weist SonicWall Kundinnen und Kunden auf weitere empfohlene Schritte hin, die der Hersteller in seinem Hinweis aufführt.
Zu Details der Angriffe schweigt SonicWall bislang: Weder zur Art der beobachteten Aktivität noch zu den Verantwortlichen hat das Unternehmen Angaben gemacht. Damit bleibt offen, ob es sich um breit gestreute Angriffe oder um gezielte Einzelfälle handelt.
Die SMA-1000-Reihe steht bereits seit Längerem im Fokus von Angreifern. Erst vor gut einem Monat hatte SonicWall Patches für zwei andere Schwachstellen derselben Produktlinie ausgeliefert: CVE-2026-15409, die mit dem maximalen CVSS-Wert von 10.0 bewertet ist, sowie CVE-2026-15410 mit einem CVSS-Wert von 7.2. Beide wurden nach damaligen Angaben von einem Bedrohungsakteur ausgenutzt, der unter der Kennung UTA0533 geführt wird. Ziel dieser Angriffe war das Ausbringen einer Schadsoftware namens KNUCKLEBALL.
VPN-Appliances wie die SMA-1000-Serie sitzen naturgemäß am Übergang zwischen Internet und internem Netz und sind aus dem Netz erreichbar – ein Umstand, der die aktive Ausnutzung solcher Lücken besonders folgenreich macht. Administratoren betroffener Modelle sollten die von SonicWall bereitgestellten Hotfix-Versionen einspielen und die begleitenden Empfehlungen des Herstellers umsetzen.