SonicWall hat zwei bislang unbekannte Schwachstellen in seinen SMA1000-Appliances bestätigt, die Angreifer bereits in freier Wildbahn zu einer Kette für Remote-Code-Ausführung kombinieren. Die schwerwiegendere der beiden, CVE-2026-83548, betrifft die WorkPlace-Oberfläche der Appliance. Sie erhält die maximale Schweregradbewertung und geht auf eine Server-Side-Request-Forgery zurück, die sich zu einer Command-Injection ausbauen lässt.
Das zweite Glied der Kette ist CVE-2026-83549, eine Command-Injection in der Appliance Management Console. Angreifer mit Administratorrechten können darüber beliebige Betriebssystembefehle auf betroffenen Geräten absetzen.
“SonicWall PSIRT hat einen Fall untersucht, der auf die aktive Ausnutzung der in diesem Advisory beschriebenen Schwachstellen hindeutet. Kunden werden dringend aufgefordert, so schnell wie möglich auf die Hotfix-Version zu aktualisieren, um diese Schwachstelle zu beheben”, heißt es in der am Dienstag veröffentlichten Mitteilung des Herstellers.
Betroffen sind die SMA1000-Modelle 6210, 7210 und 8200v. Ausdrücklich nicht betroffen sind das SSL-VPN auf SonicWall-Firewalls sowie die Serie SMA 100. Der Hersteller ruft alle Kunden dazu auf, ihre virtuellen wie physischen SMA1000-Appliances auf die aktuelle Hotfix-Version zu bringen.
Werden Kompromittierungsindikatoren gefunden, empfiehlt SonicWall zusätzlich, die Appliances neu aufzusetzen, sämtliche Nutzer- und Administratorpasswörter zu ändern und TOTP-Token zurückzusetzen. Konkrete Angaben zu den laufenden Angriffen oder eine Liste der bei den Untersuchungen gefundenen Indikatoren hat das Unternehmen bislang nicht veröffentlicht.
Der Beobachtungsdienst Shadowserver erfasst derzeit über 400 aus dem Internet erreichbare SMA1000-Appliances. Ein Teil davon könnte bereits gegen die beschriebene Angriffskette gepatcht sein. Die Geräte gelten als attraktives Ziel, weil sie als Fernzugriffslösung in großen Unternehmen, Behörden und bei Betreibern kritischer Infrastruktur im Einsatz sind.
Es ist nicht der erste Vorfall dieser Art bei der Produktlinie. Im Juli wurden zwei weitere SMA1000-Schwachstellen (CVE-2026-15409 und CVE-2026-15410) über Wochen hinweg als Zero-Days ausgenutzt, um maßgeschneiderte Schadsoftware auf verwundbaren VPN-Appliances zu installieren. Die US-Cybersicherheitsbehörde CISA bestätigte kürzlich, dass inzwischen auch Ransomware-Gruppen die beiden Lücken missbrauchen.
Bereits im Dezember hatte SonicWall vor einer weiteren SMA1000-Zero-Day-Lücke gewarnt (CVE-2025-40602), die Angreifer verketteten, um Root-Rechte zu erlangen. Einen Monat zuvor führte das Unternehmen einen Sicherheitsvorfall vom September, bei dem Konfigurations-Backups von Firewalls offengelegt wurden, auf staatlich unterstützte Angreifer zurück — zuvor hatten Forscher vor mehr als 100 mit gestohlenen Zugangsdaten kompromittierten SonicWall-SSLVPN-Konten gewarnt.