Ransomware-Akteure greifen SonicWall-SMA1000-Systeme über zwei bereits gepatchte Sicherheitslücken an. Die US-Cybersicherheitsbehörde CISA bestätigt die aktive Ausnutzung von CVE-2026-15409 und CVE-2026-15410. Besonders kritisch ist CVE-2026-15409 mit einem CVSS-Wert von 10,0. Angreifer können beide Fehler kombinieren und dadurch ein internetseitig erreichbares Remote-Access-System bis hin zu Root-Rechten kompromittieren.
SonicWall veröffentlichte die Sicherheitsupdates bereits am 14. Juli 2026. Angriffe liefen nach Untersuchungen von Sicherheitsteams jedoch schon vor der öffentlichen Bekanntgabe. Erste beobachtete Kompromittierungen reichen mindestens bis zum 22. Juni zurück. Inzwischen setzen auch Ransomware-Akteure die Angriffskette ein. Besonders häufig taucht dabei die Gruppe INC Ransomware auf.
Die Lage ist für Unternehmen besonders relevant, da SMA1000-Systeme als Remote-Access- und VPN-Gateways direkt vor internen Netzwerken stehen. Solche Remote-Access-Systeme und Unternehmenssoftware verarbeiten Anmeldungen, Sitzungen und weitere sensible Zugriffsdaten. Ein kompromittiertes Gateway kann Angreifern deshalb einen wertvollen Ausgangspunkt für weitere Bewegungen im Unternehmensnetz liefern.
CVE-2026-15409 öffnet Zugriff auf interne Dienste des SMA1000
Die erste Schwachstelle der Angriffskette trägt die Kennung CVE-2026-15409. SonicWall beschreibt den Fehler als Server-Side Request Forgery, kurz SSRF, im WorkPlace-Interface der SMA1000-Appliances. Der Fehler ist ohne vorherige Anmeldung über das Netzwerk erreichbar und erhält deshalb den maximalen CVSS-3.1-Wert von 10,0.
Ein Angreifer kann über den Fehler Netzwerkverbindungen zu Diensten aufbauen, die normalerweise nur lokal innerhalb der Appliance erreichbar sind. Rapid7 beobachtete eine aktive Ausnutzung bei internetseitig erreichbaren SMA1000-Geräten. Dadurch erhalten Angreifer Zugriff auf interne Komponenten des Systems und schaffen die Voraussetzung für die zweite Schwachstelle.
CVE-2026-15410 betrifft eine Funktion zur Verwaltung von Hotfixes. Rapid7 und Volexity beschreiben eine Manipulation von Dateipfaden mit anschließender Befehlsausführung. Ein Angreifer mit Zugriff auf den betroffenen internen Dienst kann dadurch beliebige Betriebssystembefehle mit Root-Rechten ausführen. SonicWall bewertet diesen zweiten Fehler mit einem CVSS-Wert von 7,2.
| Schwachstelle | Risiko | Status |
|---|---|---|
| CVE-2026-15409 | SSRF ohne Anmeldung, CVSS 10,0 | Aktiv ausgenutzt und in CISA KEV |
| CVE-2026-15410 | Code Injection und Rechteausweitung, CVSS 7,2 | Aktiv ausgenutzt und in CISA KEV |
| Kombinierter Angriff | Remote-Zugriff bis zu Root-Rechten auf der Appliance | In realen Angriffen beobachtet |
Die Kombination ist deutlich gefährlicher als die beiden Fehler isoliert betrachtet. Angreifer können zunächst von außen auf interne SMA-Dienste zugreifen und anschließend ihre Rechte erweitern. Volexity fand bei untersuchten Angriffen speziell für SonicWall-Appliances entwickelte Schadsoftware. Dazu kamen Proxy-Werkzeuge und Webshells für dauerhaften Zugriff.
Die Angreifer interessierten sich außerdem für besonders wertvolle Authentifizierungsinformationen. Sicherheitsforscher beobachteten Zugriffe auf Anmeldedaten, aktive Sitzungsdatenbanken und TOTP-Schlüssel für Multifaktor-Authentifizierung. Gestohlene MFA-Seeds können spätere Zugriffe erleichtern. Ein Passwortwechsel allein reicht in einem solchen Fall unter Umständen nicht aus.
Patch allein reicht bei bereits kompromittierten SMA1000-Systemen nicht aus
Betroffen sind laut SonicWall die SMA1000-Modelle 6210, 7210 und 8200v mit anfälligen Firmwareständen aus den Zweigen 12.4.3 und 12.5.0. SonicWall nennt unter anderem 12.4.3-03245, 12.4.3-03387 und 12.4.3-03434 sowie 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800 als anfällig.
Die Fehler sind in 12.4.3-03453 und 12.5.0-02835 sowie neueren Versionen korrigiert. Betreiber sollten deshalb zuerst den installierten Firmwarestand kontrollieren. Das gilt besonders für Appliances mit direkter Internetverbindung.
- Firmware prüfen: SMA1000-Systeme sollten mindestens 12.4.3-03453 oder 12.5.0-02835 einsetzen.
- System auf Kompromittierung untersuchen: Ein später installiertes Update entfernt bereits platzierte Schadsoftware nicht automatisch.
- Privilegierte Zugangsdaten ändern: Besonders Konten mit Zugriff über das Remote-Access-System sind relevant.
- Aktive Sitzungen überprüfen: Gestohlene Session-Daten können weiteren Zugriff ermöglichen.
- MFA-Konfiguration untersuchen: Die Angreifer zielten in beobachteten Fällen auch auf TOTP-Seeds.
- Protokolle auswerten: Verdächtige Zugriffe aus der Zeit vor dem Patch können auf eine frühere Kompromittierung hinweisen.
CISA nahm beide Schwachstellen bereits am 14. Juli in den Known Exploited Vulnerabilities Catalog auf. Damit bestätigt die Behörde eine reale Ausnutzung. Beim separaten CISA-Feld für bekannte Ransomware-Kampagnen steht für die beiden CVEs aktuell allerdings weiterhin „Unknown“. Die konkrete Verbindung zu INC Ransomware stammt aus Incident-Response- und Threat-Intelligence-Untersuchungen von Resecurity, Rapid7 und Volexity.
Resecurity sieht INC Ransomware inzwischen als besonders aktiven Akteur bei dieser Angriffskette. Anfang August nahm die Aktivität laut den Forschern deutlich zu. Betroffene Organisationen kommen aus mehreren Ländern. Dazu zählen die USA, Australien, die Vereinigten Arabischen Emirate, Kolumbien und auch die Schweiz.
Für Administratoren verändert diese Entwicklung die Priorität der bereits im Juli veröffentlichten Updates. Eine ungepatchte und aus dem Internet erreichbare SMA1000-Appliance sollte inzwischen als akutes Risiko behandelt werden. Bei einem System mit längerer Internetexposition reicht ein Firmware-Update allein nicht aus. Betreiber sollten zusätzlich nach Spuren einer Kompromittierung suchen und Zugangsdaten, Sitzungen sowie MFA-Konfigurationen überprüfen. Die beobachteten Angriffe zeigen, dass VPN-Gateways selbst zum Ausgangspunkt für Ransomware-Angriffe auf interne Unternehmensnetze werden können.