Es gibt Sicherheitslücken, bei denen man in Ruhe das nächste Wartungsfenster abwarten kann. Und es gibt diese hier. SonicWall hat am 1. September zwei Schwachstellen in seinen SMA1000-Appliances offengelegt — und gleich dazugesagt, dass beide bereits aktiv angegriffen werden. Die schlimmere davon trägt die Höchstwertung 10.0. Mehr geht auf der CVSS-Skala nicht.
WAS GENAU KAPUTT IST
Die erste Lücke, CVE-2026-83548, steckt im sogenannten Work-Place-Interface — das ist die Weboberfläche, über die sich Beschäftigte von außerhalb ins Firmennetz einwählen. Es handelt sich um eine Server-Side Request Forgery, kurz SSRF. Vereinfacht gesagt: Ein Angreifer bringt die Appliance dazu, in seinem Auftrag Anfragen ins interne Netz zu schicken. Die Box wird zum Handlanger. Und das ohne jede Anmeldung.
Die zweite Lücke, CVE-2026-83549, ist für sich genommen weniger dramatisch. Kombiniert man beide aber, wird daraus Remote Code Execution — fremder Programmcode läuft direkt auf dem Gerät. Ohne Passwort. Ohne Klick eines Nutzers.
Betroffen sind laut SonicWall die Modelle SMA1000 6210, 7210 und 8200v.
WARUM DAS SO BRISANT IST
Eine SMA1000 steht per Definition am Rand des Netzes. Sie muss aus dem Internet erreichbar sein, sonst könnte sich niemand einwählen. Genau diese Position macht sie zum Traumziel: Wer sie übernimmt, sitzt an der Tür zwischen Internet und Firmennetz — und hat oft freie Sicht auf alles dahinter.
Die US-Behörde CISA hat beide Einträge am 2. September in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und den Bundesbehörden eine Frist bis zum 5. September gesetzt. Das ist ungewöhnlich knapp — normalerweise gibt es drei Wochen. Zusätzlich sind beide Einträge unter der Direktive BOD 26-04 für eine forensische Prüfung markiert. Im Klartext: Die Behörde geht davon aus, dass Geräte bereits kompromittiert sein könnten.
SO GEHST DU JETZT VOR
Der Reihe nach, und zwar heute:
- Version prüfen. Alles unterhalb der Hotfixes 12.4.3-03526 beziehungsweise 12.5.0-02952 ist verwundbar.
- Hotfix einspielen. SonicWall stellt die Pakete über das übliche Support-Portal bereit. Es gibt keinen brauchbaren Workaround — das Work-Place-Interface ist der Sinn des Geräts.
- Erreichbarkeit einschränken. Wenn du das Update nicht sofort fahren kannst, begrenze den Zugriff auf das Management-Interface auf bekannte IP-Bereiche.
- Logs durchsehen. Achte auf ungewöhnliche Anfragen an das Work-Place-Interface und auf ausgehende Verbindungen der Appliance, die es vorher nicht gab.
- Zugangsdaten tauschen. Falls sich Hinweise auf einen Zugriff finden, geh vom Schlimmsten aus und erneuere Admin-Passwörter, Zertifikate und Sitzungsschlüssel.
UND WENN DU GAR KEINE SONICWALL HAST?
Dann betrifft dich der Hotfix nicht — die Lehre schon. Jede Appliance, die zwischen deinem Netz und dem Internet sitzt, ist ein bevorzugtes Ziel: VPN-Gateways, Firewalls, Reverse Proxies. Setz dir eine feste Routine, in der du genau diese Geräte auf Updates prüfst. Einmal die Woche reicht meistens — aber es muss eben passieren.