Zwei Zero-Day-Lücken in SonicWalls SMA-1000-Appliances werden derzeit angegriffen. Der Hersteller veröffentlichte die Schwachstellen an einem Dienstag zusammen mit korrigierter Firmware und fordert Kunden auf, sofort zu aktualisieren.
CVE-2026-83548 betrifft die Work-Place-Oberfläche, das nutzerseitige Portal der Appliance. SonicWall führt die Server-Side-Request-Forgery-Lücke auf einen unbeabsichtigten alternativen Zugriffspfad zurück. Im Advisory heißt es, ein entfernter, nicht authentifizierter Angreifer könne die Schwachstelle potenziell ausnutzen, um unbefugten Zugang zu sensibler Funktionalität zu erlangen und unautorisierte Operationen auszuführen. Bewertet wurde der Fehler mit dem Maximalwert 10 nach CVSS 3.0.
Die zweite Lücke, CVE-2026-83549 mit einem Wert von 7.8, steckt in der Appliance Management Console (AMC), dem Administratorportal der SMA-1000-Fernzugriffs-Gateways. SonicWall beschreibt sie als unzureichende Neutralisierung von Sonderzeichen in Betriebssystembefehlen nach der Authentifizierung — eine Befehlsinjektion also, die unter bestimmten Voraussetzungen einem authentifizierten entfernten Angreifer die Ausführung beliebiger Systembefehle und damit Remote Code Execution erlaubt.
Rapid7 hält in einem Blogbeitrag fest, dass sich beide Schwachstellen zu einer unauthentifizierten Codeausführung auf den betroffenen Geräten verketten lassen. Zugleich betonen die Forscher, dass zum Zeitpunkt der Veröffentlichung weder ein öffentlicher Proof-of-Concept-Exploit noch Kompromittierungsindikatoren (IOCs) oder eine Zuordnung der laufenden Aktivität in den verfügbaren Recherchen zu finden waren.
SonicWalls Product Security Incident Response Team (PSIRT) erklärte, es habe einen Fall untersucht, der auf die aktive Ausnutzung der beschriebenen Schwachstellen hindeutet. Entdeckt wurden beide Fehler intern durch die SonicWall-Mitarbeiter William Perry und Adam Babis. Ein Unternehmenssprecher bestätigte gegenüber Dark Reading, dass die Angriffe andauern: “Wir haben bestätigt, dass diese Schwachstellen aktiv in freier Wildbahn ausgenutzt werden”, so SonicWall. Nach der Entdeckung habe man umgehend ermittelt und korrigierte Firmware bereitgestellt. Alle Kunden mit betroffenen Appliances sollten die Firmware 12.4.3-03526 oder 12.5.0-02952 sofort installieren, auf Kompromittierungsindikatoren prüfen und bei Funden den technischen Support kontaktieren.
Betroffen sind die Modelle 6210, 7210 und 8200v in den Versionen 12.4.3-03453 beziehungsweise 12.5.0-02835 (platform-hotfix) und älter. Wer IOCs findet, soll Hardware-Appliances neu aufsetzen beziehungsweise virtuelle Appliances neu ausrollen, sämtliche Nutzer- und Administratorpasswörter ändern und TOTP-Token zurücksetzen. Rapid7 wertet gerade diese Empfehlung als Hinweis darauf, dass SonicWall eine erfolgreiche Ausnutzung als potenziell weitreichende Kontrolle über die betroffenen Systeme einstuft.
Die aktuellen Angriffe folgen auf Attacken auf zwei weitere SMA-1000-Zero-Days früher in diesem Sommer, CVE-2026-15409 und CVE-2026-15410, die sich ebenfalls zu einer Codeausführung verketten ließen. Fernzugriffs-Gateways wie die SMA 1000 stehen am Rand von Unternehmensnetzen und sind häufig direkt aus dem Internet erreichbar; SonicWalls Appliances dieser Reihe waren in den vergangenen Jahren mehrfach Ziel von Zero-Day-Angriffen.