SonicWall SMA1000 SSRF Schwachstelle: Dritte Lücke

In den Remote-Access-Appliances SMA1000 von SonicWall wurde binnen drei Monaten die dritte Lücke mit Höchstwertung geschlossen, und diese SonicWall SMA1000 SSRF Schwachstelle wird möglicherweise schon angegriffen. Das Oktober-Advisory beschreibt eine nicht authentifizierte Server-Side Request Forgery mit CVSS 10.0. Ein Sicherheitsunternehmen meldet Ausnutzungsversuche in seinen Honeypots, SonicWall selbst sieht keine Belege für eine Ausnutzung. Wer eine SMA1000 betreibt, sollte jetzt patchen und nicht warten, bis sich beide Seiten einig sind.

Was ist passiert

Die Lücke trägt die Kennung CVE-2026-102255 und liegt in der Appliance-WorkPlace-Oberfläche der SMA1000-Modelle 6210, 7210 und 8200v. SonicWall führt sie als SNWLID-2026-0017, zusammen mit drei Lücken, die eine Anmeldung voraussetzen (CVE-2026-102256 bis -102258, darunter eine OS-Command-Injection mit 7.8). Ein Angreifer ohne Zugangsdaten kann die Appliance dazu bringen, in seinem Auftrag Anfragen zu senden und interne Funktionen zu erreichen. SonicWall nennt keinen Workaround. Betroffen sind die Firmware 12.4.3-03526 und älter sowie 12.5.0-02952 und älter; The Hacker News und Daily Security Review nennen 12.4.3-03670 und 12.5.0-03082 als behobene Builds, ausgeliefert als Hotfix über MySonicWall, der die Appliance neu startet. Der Hinweis der CSA Singapur nennt andere, niedrigere Nummern, die wie ein Fehler aussehen; bitte gegen das Advisory prüfen.

Bei der Ausnutzung widersprechen sich die Quellen. Previdian berichtet, seine Honeypots hätten präparierte OPTIONS-Anfragen an die WorkPlace-Extraweb-Oberfläche aufgezeichnet, die auf den internen CouchDB-Dienst der Appliance über die Loopback-Adresse zielten. Das ist eine einzelne Quelle, die Versuche beschreibt, keine bestätigten Kompromittierungen. Das Advisory von SonicWall nennt keine Ausnutzung, und einen CISA-KEV-Eintrag fanden wir Stand 9. Oktober nicht. Ob die Lücke mit dem September-Paar zusammenhängt, sagen die von uns gelesenen Berichte nicht.

Warum das wichtig ist

Es ist das dritte Mal seit Juli. Im Juli berichteten wir über eine nicht authentifizierte RCE-Kette in derselben Appliance-Reihe (CVE-2026-15409 und CVE-2026-15410), im September über eine zweite (CVE-2026-83548 und CVE-2026-83549), die ausgenutzt und in den CISA-KEV-Katalog aufgenommen wurde. Damals schrieben wir, ein drittes Vorkommnis wäre ein Governance-Thema und nicht nur ein Patch-Thema. Jetzt ist es eingetreten, und diesmal ist die Lücke eine SSRF statt der früheren RCE-Kette.

Für DACH liegen uns keine Daten zur Zahl exponierter SMA1000-Appliances vor und keine bekannten deutschen Opfer. Einschätzung: Ein aus dem Internet erreichbares Remote-Access-Gateway, das in einem Quartal dreimal einen Notfall-Fix brauchte, gehört als wiederkehrende Exposition ins Risikoregister, nicht als drei einzelne Tickets.

Was Sie jetzt tun sollten

1. Prüfen Sie die Firmware Ihrer SMA1000 und spielen Sie den Oktober-Hotfix (12.4.3-03670 oder 12.5.0-03082 oder neuer) über MySonicWall ein. Verifizieren Sie die Build-Nummern in SNWLID-2026-0017, bevor Sie sich auf eine Zusammenfassung verlassen.
2. Stellen Sie sicher, dass auch die Fixes von Juli und September auf jeder Appliance eingespielt sind; ein Hotfix deckt die anderen nicht ab.
3. Prüfen Sie Web- und Appliance-Logs der letzten Wochen auf ungewöhnliche OPTIONS-Anfragen an die WorkPlace-Oberfläche. Für diese Lücke gibt es keine veröffentlichten Kompromittierungsindikatoren.
4. Beschränken Sie Management- und WorkPlace-Zugriff auf das Nötige und beobachten Sie CISA KEV sowie das Advisory von SonicWall auf ein Update zur Ausnutzung.

DIESEC Einschätzung

Patchen allein reicht für diese Produktlinie nicht mehr. Entscheiden Sie jetzt, ob die SMA1000 Ihre Remote-Access-Architektur bleibt, samt passendem Monitoring, oder ob es Zeit ist, einen Ersatz zu planen.

Sie wünschen eine externe Sicht auf Ihre Remote-Access-Angriffsfläche? Kontaktieren Sie DIESEC für eine externe Angriffsflächenprüfung und eine Bewertung Ihrer Remote-Access-Architektur.

Quellen: The Hacker News | BleepingComputer | CSA Singapur | Cloud Security Alliance
Veröffentlicht: 2026-10-14 | Kategorie: Tägliche News | ~4 Min. Lesezeit