SonicWall drängt nach Ausnutzung von zwei SMA1000-Schwachstellen zu umgehender Aktualisierung

SonicWall fordert Kunden auf, SMA1000-Appliances zu aktualisieren, nachdem bestätigt wurde, dass Angreifer zwei Schwachstellen in Zero-Day-Kampagnen ausnutzen. Die Schwachstellen werden als CVE-2026-15409 und CVE-2026-15410 geführt und betreffen die Schnittstellen Appliance Work Place und Appliance Management Console.

CVE-2026-15409 ist eine kritische Server-Side-Request-Forgery-Schwachstelle mit einem CVSS-Wert von 10,0. Sie kann aus der Ferne und ohne Authentifizierung ausgenutzt werden, um eine Appliance dazu zu bringen, Anfragen an unbeabsichtigte Ziele zu senden. CVE-2026-15410 ist eine schwerwiegende, nach der Authentifizierung ausnutzbare Code-Injection-Schwachstelle mit einem CVSS-Wert von 7,2, die es einem authentifizierten Administrator ermöglichen könnte, beliebige Betriebssystembefehle auszuführen. SonicWall bewertete die Sicherheitsmeldung insgesamt mit 10,0.

Der Anbieter erklärte, sein Produktsicherheitsteam habe mehrere Vorfälle untersucht und Belege für aktive Ausnutzung gefunden. Es wurde nicht mitgeteilt, ob Angreifer die beiden Schwachstellen in denselben Kampagnen kombinieren.

Betroffene Produkte und Sicherheitsupdates

Die Probleme betreffen die Appliances SMA1000 6210 und 7210 sowie die virtuelle Appliance 8200v, wenn bestimmte Platform-Hotfix-Releases der Versionen 12.4.3 oder 12.5.0 ausgeführt werden. SonicWall hat Korrekturen in den Platform-Hotfix-Versionen 12.4.3-03453 und 12.5.0-02835 sowie in späteren Versionen veröffentlicht. Nach Angaben des Unternehmens gibt es keine alternativen Maßnahmen zur Risikominderung oder Workarounds.

Die Schwachstellen betreffen weder die SSL-VPN-Funktionalität auf SonicWall-Firewalls noch die Produktfamilie SMA 100. Die US-Behörde Cybersecurity and Infrastructure Security Agency hat beide CVEs in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Nach den Vorgaben der US-Bundesregierung müssen US-Behörden die Schwachstellen bis zum 17. Juli 2026 beheben oder die betroffenen Produkte außer Betrieb nehmen, falls sie die Korrekturen nicht anwenden können.

Prüfungen auf eine mögliche Kompromittierung

Administratoren sollten Appliance-Protokolle und Konfigurationsdateien auf von SonicWall bereitgestellte Indikatoren überprüfen. Dazu gehören erfolgreiche Anfragen an /__api__/login oder /__api__/logout, verdächtige /wsproxy-Anfragen mit der HTTP-Antwort 101, Hotfix-Rollbacks unter Verwendung von Dateinamen mit Pfad-Traversal sowie unerwartete Routen für diese API-Pfade in /var/lib/unit/conf.json.

Wenn eine Kompromittierung vermutet wird, empfiehlt SonicWall, physische Appliances neu zu installieren oder virtuelle Appliances erneut bereitzustellen, die Passwörter von Administratoren und Benutzern zu ändern und TOTP-Token zurückzusetzen. Unternehmen sollten den zutreffenden Hotfix installieren und nach weiteren unbefugten Aktivitäten suchen.