Ein nicht authentifizierter Angreifer aus dem Netz kann über eine Code-Injection im User Portal und im Webadmin der Sophos Firewall beliebigen Code ausführen und damit das zentrale Perimeter-Gerät vollständig übernehmen. Betroffen sind SFOS-Versionen bis einschließlich v19.0 MR1. Sophos hat die aktive Ausnutzung gegen eine kleine Zahl gezielt angegriffener Organisationen – vorrangig in Südasien – beobachtet; die Schwachstelle steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenDas User Portal und der Webadmin der Sophos Firewall validieren in den betroffenen Versionen Eingaben nicht ausreichend, bevor sie verarbeitet werden. Ein nicht authentifizierter Angreifer kann dadurch über die exponierten Web-Oberflächen eigenen Code einschleusen und auf dem Gerät zur Ausführung bringen – der Fehler ist als CWE-94 (Improper Control of Generation of Code) eingestuft.
| SFOS-Version | Verwundbar | Fixversion |
|---|---|---|
| SFOS v19.0 | ≤ 19.0 MR1 (19.0.1) | 19.0 MR2 (19.0.2) |
| SFOS v18.5 | ≤ 18.5 MR4 | 18.5 MR5 (18.5.5) |
| SFOS v18.0 / v17.5 / v17.0 (ältere, teils EoL) | alle betroffen | Hotfix bzw. Upgrade auf unterstützte Version |
| SFOS v19.5 GA und neuer | nicht betroffen | — |
Betroffen sind alle SFOS-Versionen bis einschließlich v19.0 MR1 (19.0.1). Die permanenten Fixes sind 18.5 MR5, 19.0 MR2 und 19.5 GA und neuer; für ältere unterstützte Zweige (v17.0, v17.5, v18.0) hat Sophos Hotfixes bereitgestellt. Sophos verteilte den Hotfix automatisch an Geräte mit der Standardeinstellung „Allow automatic installation of hotfixes" – nicht mehr unterstützte oder von dieser Funktion abgekoppelte Geräte müssen manuell aktualisiert werden.
Regulatorischer Hinweis: Ein bestätigter Zugriff auf die Firewall oder ein Abfluss von Zugangsdaten bzw. personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – WAN-Zugriff abschalten, patchen, Zugangsdaten rotieren, Kompromittierung ausschließen.
v19.0 MR1 im Einsatz ist und ob User Portal oder Webadmin vom WAN/Internet aus erreichbar sind. Genau diese Exposition macht die Lücke ausnutzbar.18.5 MR5, 19.0 MR2 oder 19.5 GA und neuer. Bei aktivierter Standardfunktion „Allow automatic installation of hotfixes" auf unterstützten Versionen wurde der Hotfix bereits automatisch verteilt; dennoch aktiv verifizieren.User Portal /Webadmin aus fremden/WAN-QuellenZur Einordnung: Sophos hat keinen einzelnen eindeutigen technischen Indikator veröffentlicht. Da die Ausnutzung über reguläre Web-Anfragen an die exponierten Oberflächen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen – der zuverlässigste Ansatz ist die Auswertung Ihrer Firewall-Zugriffs- und Authentifizierungslogs sowie ein Abgleich der Konfiguration gegen einen bekannten Soll-Stand.
Wichtig: Die Firewall ist das Perimeter-Kontrollgerät: Eine unauthentifizierte Code-Ausführung dort bedeutet die vollständige Übernahme des Netzübergangs. Selbst nach dem Patch bleiben zuvor abgeflossene Zugangsdaten – VPN, Admin, API – gültig. Deshalb ist die Rotation aller betroffenen Zugangsdaten ebenso wichtig wie das Update, und der WAN-Zugriff auf die Management-Oberflächen sollte grundsätzlich geschlossen bleiben.
Sophos Security Advisory sophos-sa-20220923-sfos-rce (CVE-2022-3236) · NVD (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-94) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 23.09.2022, Frist 14.10.2022). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an User Portal / Webadmin und die Nutzung darüber abgeflossener Firewall-Zugangsdaten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.