Ein nicht authentifizierter Angreifer aus dem Netz kann die SMA1000-Appliance über das „Work Place“-Interface dazu bringen, Anfragen an von ihm bestimmte, unbeabsichtigte Ziele zu senden – eine Server-Side Request Forgery. In den bislang beobachteten Angriffen wird die Lücke gemeinsam mit der Code-Injection-Schwachstelle CVE-2026-15410 in der Management Console verkettet, um die Appliance vollständig zu kompromittieren. SonicWall bestätigt aktive Ausnutzung; CISA hat die Schwachstelle am 14. Juli 2026 in den KEV-Katalog aufgenommen. Der Hersteller weist ausdrücklich darauf hin, dass ein Patch allein nicht ausreicht.
Advisory als PDF herunterladenDas Work-Place-Interface der SMA1000-Appliance validiert in den betroffenen Versionen eine vom Angreifer beeinflussbare Ziel-URL nicht ausreichend, bevor die Appliance selbst eine Anfrage dorthin absetzt. Ein nicht authentifizierter Angreifer kann das Gerät so veranlassen, HTTP-Anfragen an unbeabsichtigte – insbesondere interne – Ziele zu senden (Server-Side Request Forgery, CWE-918). In den beobachteten Angriffen wird dies mit der Code-Injection-Lücke CVE-2026-15410 in der Management Console kombiniert, um Betriebssystembefehle auszuführen und die Appliance zu übernehmen.
CVE-2026-15410 in der Management Console| SMA1000-Firmware | Verwundbar | Fixversion |
|---|---|---|
| SMA1000 12.4.3 | 12.4.3-03245 – 12.4.3-03434 | 12.4.3-03453 |
| SMA1000 12.5.0 | 12.5.0-02283 – 12.5.0-02800 | 12.5.0-02835 |
| SMA 100 Serie · SonicOS-Firewalls | nicht betroffen | — |
Betroffen ist ausschließlich die SMA1000-Serie (Appliances SMA6210, SMA7210, SMA8200v) in den genannten Firmware-Bereichen. Die SMA-100-Serie und die SonicOS-Firewalls sind von dieser Schwachstelle nicht betroffen. Die Fix-Builds 12.4.3-03453 und 12.5.0-02835 wurden vorab als Hotfix über den SonicWall-Support und am 14. Juli 2026 über die SonicWall-Website bereitgestellt.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff über das Remote-Access-Gateway oder ein Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Zugriff einschränken, Hotfix einspielen, Kompromittierung ausschließen, Zugangsdaten zurücksetzen.
SMA6210, SMA7210, SMA8200v) in einer Firmware zwischen 12.4.3-03245 und 12.4.3-03434 oder zwischen 12.5.0-02283 und 12.5.0-02800 im Einsatz und aus dem Internet erreichbar ist.12.4.3-03453 bzw. 12.5.0-02835 oder neuer aktualisieren. Wichtig: SonicWall betont ausdrücklich, dass der Patch allein nicht genügt – die folgenden Schritte sind Pflicht.CVE-2026-15410)Zur Einordnung: Da die SSRF über reguläre Web-Anfragen läuft, ist sie ohne detaillierte Zugriffs-Logs schwer zu erkennen. SonicWall weist darauf hin, dass ein Patch allein nicht ausreicht – bei Verdacht die Appliance neu aufsetzen und Zugangsdaten zurücksetzen. Der zuverlässigste Nachweis ist die Auswertung Ihrer Zugriffs- und Appliance-Logs.
Wichtig: Der Kern des Risikos liegt in der Verkettung: Die SSRF öffnet ohne Anmeldung den Weg, die Code-Injection-Lücke CVE-2026-15410 vollendet die Übernahme. Deshalb betont SonicWall, dass Patchen allein nicht genügt – kompromittierte Geräte müssen neu aufgesetzt und alle Zugangsdaten samt MFA-Seeds zurückgesetzt werden.
SonicWall PSIRT Advisory SNWLID-2026-0008 (CVE-2026-15409) · CVE-CNA-Record SonicWall via CVE Services (CVSS 3.1: 10,0 / Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, CWE-918) · NVD (Status „Received“, noch keine eigene CVSS-Bewertung) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.07.2026, Frist 17.07.2026) · Help Net Security (Fix-Builds 12.4.3-03453 / 12.5.0-02835, aktive Ausnutzung, Verkettung mit CVE-2026-15410). CVSS-Basiswert stammt vom SonicWall-PSIRT/CNA, da die NVD-Analyse noch aussteht. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Anfragen an das SMA1000-Interface, unerwartete ausgehende Anfragen der Appliance und darüber ausgelöste Kommandoausführung. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.