SonicWall hat Notfall-Updates für seine SMA-1000-VPN-Appliances veröffentlicht. Zwei Schwachstellen in der Produktreihe wurden bereits aktiv für Angriffe ausgenutzt, bevor Patches zur Verfügung standen. Das berichtet das Sicherheitsportal The Hacker News unter Berufung auf ein Advisory des Herstellers. Entdeckt wurden die Lücken laut Bericht intern von den SonicWall-Mitarbeitern William Perry und Adam Babis.

Schwachstellen mit maximalem Risiko

Die gravierendere der beiden Lücken trägt die Kennung CVE-2026-83548 und erreicht mit einem CVSS-Wert von 10,0 die höchstmögliche Risikoeinstufung. Es handelt sich um eine SSRF-Schwachstelle in der Work-Place-Oberfläche der Appliance, die keine vorherige Authentifizierung erfordert.

Über einen unbeabsichtigten alternativen Zugriffspfad können nicht authentifizierte Angreifer aus der Ferne auf sensible Funktionen zugreifen und unautorisierte Operationen ausführen. Die zweite Lücke, CVE-2026-83549, bewertet SonicWall mit einem CVSS-Wert von 7,8 und setzt bereits einen erfolgreichen Login voraus.

Dabei handelt es sich um eine Command-Injection-Schwachstelle in der Appliance Management Console. Angemeldete Administratoren könnten unter bestimmten Bedingungen beliebige Betriebssystembefehle ausführen, was letztlich zur vollständigen Codeausführung auf dem System führen kann.

Angreifer verketten offenbar beide Lücken

SonicWall erklärte laut Bericht, man habe einen Fall untersucht, der auf eine aktive Ausnutzung beider Schwachstellen hindeutet. Alles spricht dafür, dass Angreifer die beiden Lücken kombinieren, um letztlich Schadcode auf verwundbaren Geräten auszuführen.

Details zur Art der Angriffe oder zu den dahinterstehenden Akteuren nannte der Hersteller bislang nicht. Betroffen sind die SMA-1000-Modelle 6210, 7210 und 8200v in den Versionen 12.4.3-03453 sowie 12.5.0-02835 und älteren Ständen.

Update und Kompromittierungsprüfung

Behoben sind die Schwachstellen in den Versionen 12.4.3-03526 und 12.5.0-02952. SonicWall rät Kundinnen und Kunden dringend, umgehend auf die neuesten Hotfix-Versionen zu aktualisieren.

Zusätzlich empfiehlt der Hersteller, betroffene Systeme auf Kompromittierungsindikatoren zu überprüfen. Werden solche Spuren gefunden, sollten Appliances neu aufgesetzt oder neu bereitgestellt, sämtliche Nutzer- und Administratorpasswörter geändert sowie TOTP-Tokens für die Zwei-Faktor-Authentifizierung zurückgesetzt werden.

Die aktuelle Warnung ist bereits die zweite dieser Art innerhalb weniger Wochen. Erst gut einen Monat zuvor hatte SonicWall zwei andere Schwachstellen in derselben Produktlinie geschlossen, die von der als UTA0533 bezeichneten Angreifergruppe zur Verbreitung der Schadsoftware KNUCKLEBALL missbraucht worden waren.