Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
SECURITY ADVISORY

Authentifizierungs-Umgehung mit Codeausführung in Sophos Firewall

Ein nicht authentifizierter Angreifer aus dem Netz kann die Anmeldung am User Portal und am Webadmin-Interface der Sophos Firewall vollständig umgehen und anschließend beliebigen Code auf der Appliance ausführen. Damit steht das zentrale Sicherheits-Gateway des Unternehmens unter fremder Kontrolle. Sophos hat die Schwachstelle bereits im März 2022 in gezielten Angriffen – vor allem auf Organisationen in Südasien – aktiv ausgenutzt beobachtet.

CVE-ID

CVE-2022-1040

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Sophos

Produkt

Sophos Firewall (SFOS)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

In den betroffenen Versionen lässt sich die Authentifizierung am User Portal und am Webadmin-Interface der Sophos Firewall umgehen. Ein nicht authentifizierter Angreifer aus dem Netz kann dadurch geschützte Funktionen erreichen und über diese schließlich beliebigen Code auf der Appliance ausführen – ohne gültige Zugangsdaten und ohne Zutun eines Nutzers.

Angriffskette

  1. Oberfläche exponiert – User Portal oder Webadmin ist über das WAN aus dem Netz erreichbar
  2. Anmeldung umgehen – manipulierte, unauthentifizierte Anfrage überwindet die Authentifizierung
  3. Code ausführen – über die freigeschaltete Funktion wird beliebiger Code auf der Firewall ausgeführt
  4. Ausweitung – Verkehr abgreifen/umleiten, Zugangsdaten und VPN-Zugänge missbrauchen, weiter ins Netz vordringen

Betroffene Versionen und Fixes

Sophos-Firewall-Version (SFOS)VerwundbarFixversion
SFOS 18.5≤ 18.5 MR3 (18.5.3)18.5 MR4 (18.5.4)
SFOS 19.0EAP / Vorabversionen19.0 GA
SFOS 17.0 · 17.5 · 18.0unterstützte ZweigeSophos-Hotfix

Betroffen sind alle Sophos-Firewall-Versionen bis einschließlich v18.5 MR3 (18.5.3). Für alle unterstützten Zweige (17.0, 17.5, 18.0, 18.5, 19.0 EAP) hat Sophos ab dem 23. März 2022 Hotfixes ausgeliefert; den dauerhaften Fix enthalten v18.5 MR4 (18.5.4) und v19.0 GA. Bei aktivierter Option „Allow automatic installation of hotfixes" (Standard) wurde der Hotfix automatisch eingespielt – dies ist jedoch zu verifizieren.

Regulatorischer Hinweis: Die Übernahme eines Perimeter-Gateways ist regelmäßig als Sicherheitsvorfall zu bewerten. Ein bestätigter Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 23.03.2022 – Sophos liefert Hotfixes für die unterstützten Firewall-Zweige aus
  • 25.03.2022 – Sophos veröffentlicht Advisory SA-20220325 – aktive Ausnutzung in Südasien beobachtet
  • 31.03.2022 – CISA nimmt CVE-2022-1040 in den KEV-Katalog auf – aktive Ausnutzung
  • 21.04.2022 – KEV-Frist für US-Behörden zum Einspielen der Hersteller-Updates

Maßnahmenplan

In dieser Reihenfolge – WAN-Zugriff abschalten, Hotfix/Update verifizieren, Kompromittierung ausschließen, Zugangsdaten rotieren.

  • Sofort: WAN-Zugriff auf User Portal / Webadmin sperren
  • Kurzfristig: Hotfix bzw. Update verifizieren
  • Parallel: Threat Hunting / Kompromittierung prüfen
  1. Betroffenheit feststellen
    Prüfen, ob eine Sophos Firewall in einer Version bis einschließlich v18.5 MR3 (18.5.3) im Einsatz ist und ob User Portal oder Webadmin über das WAN erreichbar sind.
  2. Sofort mitigieren
    Den WAN-Zugriff auf User Portal und Webadmin nach den Device-Access-Best-Practices deaktivieren. Fernzugriff und Verwaltung stattdessen über VPN und/oder Sophos Central abwickeln. Von Sophos als Behelfsmaßnahme benannt.
  3. Hotfix / Update verifizieren
    Sicherstellen, dass der Hotfix eingespielt ist – bei aktivierter automatischer Hotfix-Installation geschieht dies standardmäßig. Anhand der Sophos-KB (KBA-000008204) verifizieren und auf eine dauerhaft gefixte Version aktualisieren: v18.5 MR4 (18.5.4) oder v19.0 GA.
  4. Kompromittierung ausschließen
    Da die Schwachstelle aktiv ausgenutzt wurde, die Firewall auf Anzeichen einer Übernahme prüfen: unbekannte Administrator-Konten, veränderte Konfiguration, ungewöhnliche VPN-Zugänge sowie anomale Zugriffe auf User Portal und Webadmin in den Logs.
  5. Zugangsdaten rotieren
    Bei Verdacht auf Kompromittierung alle Administrator- und Portal-Passwörter, VPN-Zugänge und API-/Verwaltungsgeheimnisse der betroffenen Firewall zurücksetzen – ein Patch macht bereits abgeflossene Geheimnisse nicht ungültig.

Kompromittierungs-Indikatoren

  • Konfigurations-Check: Unbekannte Administrator-Konten oder
    veränderte Firewall-/VPN-Konfiguration
  • Auffällige Aktivität: Unauthentifizierte Anfragen an
    User Portal / Webadmin aus fremden Quellen
  • Folgeindikatoren: Neu-/Fremdanmeldungen über VPN oder
    Verwaltungszugänge der Firewall

Zur Einordnung: Sophos nennt keinen einzelnen eindeutigen Datei-IoC. Da die Ausnutzung über reguläre Web-Anfragen an die exponierten Oberflächen läuft, ist der zuverlässigste Indikator die Auswertung Ihrer Zugriffs- und Firewall-Logs sowie ein Konfigurations-Review. Fehlende WAN-Logs erschweren die nachträgliche Erkennung.

Wichtig: Der Kern des Risikos liegt in der Exposition der Verwaltungs- und Portal-Oberflächen zum Internet: Ist die Firewall einmal übernommen, kann der Angreifer trotz späterem Patch über hinterlegte Konten und Zugänge zurückkehren. Deshalb ist – neben Hotfix und Update – die WAN-Sperre der Oberflächen und die Rotation der Zugangsdaten entscheidend.

Empfehlung für die Geschäftsleitung

  • WAN-Zugriff auf User Portal und Webadmin heute sperren; Verwaltung und Fernzugriff nur über VPN oder Sophos Central.
  • Hotfix-Status verifizieren und auf eine dauerhaft gefixte Version (18.5.4 / 19.0 GA) aktualisieren lassen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist; bei Verdacht Zugangsdaten rotieren und den Vorgang dokumentieren.

Primärquellen

Sophos Security Advisory SA-20220325 (Resolved RCE in Sophos Firewall, CVE-2022-1040) · Sophos KB KBA-000008204 (Hotfix-Verifikation) · NVD (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; keine CVSS-4.0-Bewertung) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 31.03.2022, Frist 21.04.2022). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an User Portal / Webadmin sowie Konfigurations- und Kontenänderungen an der Firewall. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed Firewall →

    Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.