SECURITY ADVISORY

Unauthentifizierte Code-Injection mit RCE in Sophos Firewall (User Portal / Webadmin)

Ein nicht authentifizierter Angreifer aus dem Netz kann über eine Code-Injection im User Portal und im Webadmin der Sophos Firewall beliebigen Code ausführen und damit das zentrale Perimeter-Gerät vollständig übernehmen. Betroffen sind SFOS-Versionen bis einschließlich v19.0 MR1. Sophos hat die aktive Ausnutzung gegen eine kleine Zahl gezielt angegriffener Organisationen – vorrangig in Südasien – beobachtet; die Schwachstelle steht im CISA-KEV-Katalog.

CVE-ID

CVE-2022-3236

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Sophos

Produkt

Sophos Firewall (SFOS)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Das User Portal und der Webadmin der Sophos Firewall validieren in den betroffenen Versionen Eingaben nicht ausreichend, bevor sie verarbeitet werden. Ein nicht authentifizierter Angreifer kann dadurch über die exponierten Web-Oberflächen eigenen Code einschleusen und auf dem Gerät zur Ausführung bringen – der Fehler ist als CWE-94 (Improper Control of Generation of Code) eingestuft.

Angriffskette

  1. Web-Oberfläche exponiert – User Portal oder Webadmin sind über das WAN/Internet erreichbar
  2. Code einschleusen – manipulierte, unauthentifizierte Anfrage an den anfälligen Endpunkt
  3. Code ausführen – der eingeschleuste Code wird auf der Firewall ausgeführt (RCE)
  4. Ausweitung – Zugangsdaten und Konfiguration abgreifen, Regeln manipulieren, weiter ins Netz bewegen

Betroffene Versionen und Fixes

SFOS-VersionVerwundbarFixversion
SFOS v19.0≤ 19.0 MR1 (19.0.1)19.0 MR2 (19.0.2)
SFOS v18.5≤ 18.5 MR418.5 MR5 (18.5.5)
SFOS v18.0 / v17.5 / v17.0 (ältere, teils EoL)alle betroffenHotfix bzw. Upgrade auf unterstützte Version
SFOS v19.5 GA und neuernicht betroffen

Betroffen sind alle SFOS-Versionen bis einschließlich v19.0 MR1 (19.0.1). Die permanenten Fixes sind 18.5 MR5, 19.0 MR2 und 19.5 GA und neuer; für ältere unterstützte Zweige (v17.0, v17.5, v18.0) hat Sophos Hotfixes bereitgestellt. Sophos verteilte den Hotfix automatisch an Geräte mit der Standardeinstellung „Allow automatic installation of hotfixes" – nicht mehr unterstützte oder von dieser Funktion abgekoppelte Geräte müssen manuell aktualisiert werden.

Regulatorischer Hinweis: Ein bestätigter Zugriff auf die Firewall oder ein Abfluss von Zugangsdaten bzw. personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 16.09.2022 – Sophos entdeckt die Schwachstelle über das Bug-Bounty-Programm
  • 23.09.2022 – Sophos veröffentlicht Advisory (sophos-sa-20220923-sfos-rce); CISA nimmt CVE-2022-3236 in den KEV-Katalog auf
  • 14.10.2022 – KEV-Frist für US-Behörden zum Patchen/Absichern
  • Nov. 2023 – Neue Ausnutzungsversuche gegen ältere, nicht mehr unterstützte Versionen; Advisory-Update

Maßnahmenplan

In dieser Reihenfolge – WAN-Zugriff abschalten, patchen, Zugangsdaten rotieren, Kompromittierung ausschließen.

  • Sofort: WAN-Zugriff auf User Portal / Webadmin sperren
  • Kurzfristig: Patch/Hotfix einspielen, Zugangsdaten rotieren
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    Prüfen, ob eine Sophos Firewall in einer Version bis einschließlich v19.0 MR1 im Einsatz ist und ob User Portal oder Webadmin vom WAN/Internet aus erreichbar sind. Genau diese Exposition macht die Lücke ausnutzbar.
  2. Sofort mitigieren (vor dem Patch)
    WAN-Zugriff auf User Portal und Webadmin deaktivieren und die Fernverwaltung stattdessen über VPN oder Sophos Central abwickeln – die von Sophos benannte Behelfsmaßnahme. Dies unterbindet die externe Ausnutzung sofort.
  3. Patchen
    Auf eine fehlerbereinigte Version aktualisieren – 18.5 MR5, 19.0 MR2 oder 19.5 GA und neuer. Bei aktivierter Standardfunktion „Allow automatic installation of hotfixes" auf unterstützten Versionen wurde der Hotfix bereits automatisch verteilt; dennoch aktiv verifizieren.
  4. Zugangsdaten als kompromittiert behandeln
    Bei möglicher Kompromittierung alle lokalen Admin- und Portal-Konten, VPN-Zugänge sowie API-/Dienst-Zugangsdaten der Firewall rotieren – ein Patch macht bereits abgeflossene Geheimnisse nicht ungültig.
  5. Kompromittierung ausschließen
    Konfiguration, Admin-Konten und Firewall-Regeln auf unbekannte Änderungen prüfen sowie Zugriffs- und Authentifizierungslogs auf anomale Anfragen an User Portal und Webadmin aus fremden Quellen durchsuchen.

Kompromittierungs-Indikatoren

  • Auffällige Aktivität: Unauthentifizierte Anfragen an User Portal /
    Webadmin aus fremden/WAN-Quellen
  • Konfigurations-Check: Unbekannte Admin-Konten, neue oder
    geänderte Firewall- und Zugriffsregeln
  • Folgeindikatoren: Neu-/Fremdanmeldungen über VPN oder
    Admin mit Firewall-Konten; abgehender C2-Verkehr

Zur Einordnung: Sophos hat keinen einzelnen eindeutigen technischen Indikator veröffentlicht. Da die Ausnutzung über reguläre Web-Anfragen an die exponierten Oberflächen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen – der zuverlässigste Ansatz ist die Auswertung Ihrer Firewall-Zugriffs- und Authentifizierungslogs sowie ein Abgleich der Konfiguration gegen einen bekannten Soll-Stand.

Wichtig: Die Firewall ist das Perimeter-Kontrollgerät: Eine unauthentifizierte Code-Ausführung dort bedeutet die vollständige Übernahme des Netzübergangs. Selbst nach dem Patch bleiben zuvor abgeflossene Zugangsdaten – VPN, Admin, API – gültig. Deshalb ist die Rotation aller betroffenen Zugangsdaten ebenso wichtig wie das Update, und der WAN-Zugriff auf die Management-Oberflächen sollte grundsätzlich geschlossen bleiben.

Empfehlung für die Geschäftsleitung

  • WAN-Zugriff auf User Portal und Webadmin heute abschalten; Patch bzw. Hotfix-Status unverzüglich verifizieren.
  • Alle Firewall-Zugangsdaten – Admin, Portal, VPN, API – rotieren lassen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.

Primärquellen

Sophos Security Advisory sophos-sa-20220923-sfos-rce (CVE-2022-3236) · NVD (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-94) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 23.09.2022, Frist 14.10.2022). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an User Portal / Webadmin und die Nutzung darüber abgeflossener Firewall-Zugangsdaten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed Firewall →

    Regelwerk, Firmwarestand und Ausnahmen bleiben im Blick, damit Sicherheitsupdates nicht im Change-Prozess liegen bleiben.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.