BEDROHUNG
Sicherheitsforscher beobachten aktive Ausnutzungsversuche einer kritischen Sicherheitslücke in SonicWall SMA-1000-Appliances. Die Schwachstelle CVE-2026-102255 weist einen CVSS-Score von 10,0 auf und ermöglicht einen Angriff ohne vorherige Authentifizierung. Angreifer können die betroffenen Geräte dazu bringen, Anfragen in ihrem Auftrag auszuführen und dadurch auf interne Funktionen zugreifen.
Die Schwachstelle betrifft die WorkPlace-Schnittstelle von Secure-Mobile-Access-Geräten, die einen Fernzugriff auf Unternehmensnetzwerke und Anwendungen ermöglichen. Ursache ist eine sogenannte „Server-Side Request Forgery“ (SSRF), bei der ein Angreifer über einen unbeabsichtigten alternativen Zugriffspfad interne Funktionen erreichen und unautorisierte Aktionen ausführen kann. Laut The Hacker News registrierten Sicherheitsforscher bereits 135 Ausnutzungsversuche von zwei unterschiedlichen IP-Adressen. Die beobachteten Versuche belegen jedoch nicht automatisch eine erfolgreiche Kompromittierung.
Betroffen sind die SonicWall-SMA-1000-Modelle 6210, 7210 und 8200v mit den Firmware-Versionen 12.4.3-03526 und älter sowie 12.5.0-02952 und älter. SonicWall hat Sicherheitsupdates veröffentlicht; die behobenen Versionen sind 12.4.3-03670 und 12.5.0-03082. Da bereits Angriffsversuche beobachtet wurden, sollten betroffene Systeme schnellstmöglich aktualisiert und auf verdächtige Aktivitäten untersucht werden. Die SMA-100-Serie sowie SSL-VPN auf SonicWall-Firewalls sind von dieser Schwachstelle nicht betroffen.
Was jetzt zu tun ist:
- eingesetzte Geräte und Firmware-Versionen auf Betroffenheit prüfen
- betroffene SonicWall-SMA-1000-Appliances unverzüglich auf eine abgesicherte Firmware-Version aktualisieren
- Protokolle auf verdächtige Anfragen und unautorisierte Zugriffe untersuchen
betroffene Systeme auf Anzeichen einer Kompromittierung überprüfen
PRÄVENTION & DETEKTION
Ein Schwachstellenscan, wie zum Beispiel LocateRisk, prüft ob SonicWall-SMA-1000-Appliances mit den betroffenen Firmware-Versionen in Ihrer Umgebung vorhanden sind. So lassen sich verwundbare Systeme frühzeitig identifizieren und priorisiert absichern.
Ein kontinuierliches Netzwerkmonitoring unterstützt dabei, verdächtige Anfragen, ungewöhnliche Zugriffe auf SMA-Systeme sowie mögliche Ausnutzungsversuche der Schwachstelle frühzeitig zu erkennen. Durch die Überwachung des Netzwerkverkehrs und die Analyse sicherheitsrelevanter Ereignisse können Angriffe schneller identifiziert und Gegenmaßnahmen eingeleitet werden.
Autor: Christoph Kronabel
