Fernzugriffslösungen gehören seit Jahren zu den bevorzugten Angriffszielen von Cyberkriminellen. Über diese Lösungen erhalten Mitarbeitende, Partner oder externe Dienstleister Zugriff auf interne Unternehmenssysteme – gleichzeitig stellen sie jedoch auch einen besonders attraktiven Einstiegspunkt für Angreifer dar. Gelingt die Kompromittierung eines solchen Systems, kann dies weitreichende Folgen für die gesamte IT-Infrastruktur haben.
Aktuell warnt der Hersteller SonicWall vor zwei Sicherheitslücken in der SMA1000-Serie, die bereits aktiv ausgenutzt werden. Da derzeit keine alternativen Schutzmaßnahmen existieren, sollten betroffene Unternehmen die bereitgestellten Sicherheitsupdates schnellstmöglich installieren und ihre Systeme vorsorglich auf Anzeichen einer Kompromittierung überprüfen.
Was ist passiert?
Die SonicWall SMA1000-Serie ist ein System für den sicheren Fernzugriff auf Unternehmensnetzwerke. Über sie greifen Mitarbeitende oder externe Dienstleister verschlüsselt auf interne Systeme zu. Gerade deshalb sind diese Geräte ein attraktives Ziel für Angreifer.
SonicWall hat zwei Schwachstellen veröffentlicht (CVE-2026-15409 und CVE-2026-15410), die bereits vor Veröffentlichung der Sicherheitsupdates aktiv ausgenutzt wurden, sogenannte Zero-Day-Schwachstellen. Die US-Cybersicherheitsbehörde CISA hat beide deshalb in ihren Katalog der aktiv ausgenutzten Sicherheitslücken aufgenommen.
Wie funktioniert der Angriff?
Die Angriffe kombinieren zwei unterschiedliche Schwachstellen miteinander. Zunächst kann ein Angreifer das System dazu bringen, interne Anfragen in seinem Auftrag auszuführen (Server-Side Request Forgery, SSRF). Dadurch lassen sich Sicherheitsmechanismen umgehen und weitere interne Komponenten erreichen.
Anschließend wird eine zweite Schwachstelle in der Management-Konsole ausgenutzt (Command Injection), um beliebige Systembefehle auszuführen. Obwohl diese zweite Schwachstelle für sich genommen Administratorrechte erfordert, können beide Sicherheitslücken gemeinsam genutzt werden, um das System vollständig zu kompromittieren. SonicWall bewertet diese Angriffskette deshalb insgesamt mit dem maximalen Schweregrad CVSS 10.0.
Was ist betroffen?
Betroffen sind ausschließlich folgende Modelle der SonicWall SMA1000-Serie:
mit den Firmware-Versionen 12.4.3-03245 bis 12.5.0-02800.
Nicht betroffen sind hingegen:
Wie kann ich mich schützen?
Wir empfehlen betroffenen Unternehmen folgende Maßnahmen:
Fazit
Die aktuellen Angriffe zeigen erneut, dass Systeme für den Fernzugriff weiterhin zu den wichtigsten Angriffszielen von Cyberkriminellen gehören. Obwohl ausschließlich die SonicWall SMA1000-Serie betroffen ist, sollten Unternehmen mit entsprechenden Appliances die Warnung ernst nehmen. Da die Schwachstellen bereits aktiv ausgenutzt werden und keine Workarounds existieren, ist eine schnelle Installation der bereitgestellten Hotfixes entscheidend.
Auch Unternehmen, die nicht betroffen sind, können aus diesem Vorfall wichtige Erkenntnisse ziehen: Fernzugriffssysteme sollten regelmäßig aktualisiert, Administrationszugänge bestmöglich abgesichert und sicherheitskritische Systeme kontinuierlich überwacht werden. So lässt sich das Risiko erfolgreicher Angriffe langfristig deutlich reduzieren.
Sie möchten über aktuelle Bedrohungen und Sicherheitslücken informiert bleiben?
Abonnieren Sie unseren Newsletter und erhalten Sie wichtige Warnmeldungen, Handlungsempfehlungen und Einschätzungen zu aktuellen Cyberrisiken direkt in Ihr Postfach.
Quellen & weiterführende Informationen
SonicWall PSIRT Advisory SNWLID-2026-0008
CISA – Known Exploited Vulnerabilities (KEV)
BleepingComputer – SonicWall warns of SMA1000 flaws exploited in zero-day attacks