In der Appliance Management Console (AMC) der SonicWall SMA1000-Serie steckt eine Code-Injection-Schwachstelle: Ein aus dem Netz erreichbarer, als Administrator angemeldeter Angreifer kann unter bestimmten Bedingungen beliebige Betriebssystem-Befehle auf der Appliance ausführen. Die Lücke wird aktiv ausgenutzt – in beobachteten Angriffen in Kombination mit der kritischen SSRF-Schwachstelle CVE-2026-15409, über die sich Angreifer die nötige Zugriffs- bzw. Administratorposition erst verschaffen. Seit dem 14. Juli 2026 ist die Schwachstelle im CISA-KEV-Katalog gelistet.
Advisory als PDF herunterladenDie Appliance Management Console (AMC) der SMA1000 kontrolliert die Generierung bzw. Verarbeitung von Code nicht ausreichend (CWE-94). Ein bereits als Administrator angemeldeter Angreifer kann darüber eigene Befehle einschleusen, die im Kontext des Betriebssystems der Appliance ausgeführt werden. In den beobachteten Angriffen wird die Lücke mit der SSRF-Schwachstelle CVE-2026-15409 verkettet, um die erforderliche Position auf der Management-Konsole überhaupt zu erreichen.
CVE-2026-15409), um an die Administrator-Konsole zu gelangen| SMA1000-Version | Verwundbar | Fixversion |
|---|---|---|
| SMA1000 12.4.3 | 12.4.3-03245 – 12.4.3-03434 | 12.4.3-03453 |
| SMA1000 12.5.0 | 12.5.0-02283 – 12.5.0-02800 | 12.5.0-02835 |
| SMA 100-Serie · Firewalls · SMA 500v | nicht betroffen | — |
Betroffen ist ausschließlich die SMA1000-Serie (Modelle SMA6210, SMA7210 und die virtuelle SMA8200v) in den genannten 12.4.3- und 12.5.0-Ständen. Die separate SMA 100-Serie ist von dieser Schwachstelle nicht betroffen. Die Fixes wurden zunächst als Hotfix über den SonicWall-Support verteilt und ab dem 14. Juli 2026 allgemein bereitgestellt.
Regulatorischer Hinweis: Die kompromittierte Übernahme eines Fernzugangs-Gateways ist regelmäßig ein meldepflichtiger Vorfall: DSGVO unverzüglich (i. d. R. 72 h) bei Betroffenheit personenbezogener Daten, NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit klären, Hotfix einspielen, Kompromittierung ausschließen, Geheimnisse zurücksetzen.
SMA6210, SMA7210, SMA8200v) im Einsatz ist und in einem Stand zwischen 12.4.3-03245 und 12.4.3-03434 bzw. 12.5.0-02283 und 12.5.0-02800 läuft.12.4.3-03453 bzw. 12.5.0-02835 oder neuer aktualisieren. Ist der Fix noch nicht verfügbar, den SonicWall-Support wegen des Hotfixes kontaktieren.CVE-2026-15409 berücksichtigen.CVE-2026-15409) vor BefehlsausführungZur Einordnung: SonicWall hat bis Redaktionsschluss keine eindeutigen, veröffentlichten IoC-Hashes/-Adressen genannt. Da die Ausnutzung Administrator-Kontext voraussetzt und über reguläre AMC-Funktionen läuft, ist sie ohne detaillierte Appliance- und Zugriffs-Logs schwer zu erkennen – bei Verdacht empfiehlt der Hersteller, die Appliance vorsorglich neu aufzusetzen.
Wichtig: Die eigentliche Gefahr entsteht durch die Verkettung: CVE-2026-15410 verlangt für sich genommen bereits Administrator-Rechte (daher „nur“ HOCH statt KRITISCH), wird in den beobachteten Angriffen aber mit der kritischen SSRF-Lücke CVE-2026-15409 kombiniert, um genau diese Rechte zu erlangen. Beide Schwachstellen sollten daher gemeinsam und sofort behandelt werden. Ein offizieller CVSS-Basiswert steht noch aus – die Priorität ergibt sich aus der bestätigten aktiven Ausnutzung (KEV), nicht aus der Zahl.
SonicWall PSIRT Advisory SNWLID-2026-0008 (CVE-2026-15410, verkettet mit CVE-2026-15409) · NVD CVE-2026-15410 (Status „Received“, CWE-94; CVSS-Basiswert noch nicht bereitgestellt) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.07.2026) · Help Net Security (Herstellereinstufung „High“, betroffene/Fix-Versionen). Der angegebene CVSS-Wert 7,2 (CVSS 3.1) ist eine konservative Argos-Einschätzung, da weder NVD noch PSIRT bislang einen offiziellen Basiswert veröffentlicht haben; gegen das Hersteller-Advisory abgleichen, sobald ein Score vorliegt. Angaben nach bestem Wissen zum Stand 14.07.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Administrator-Zugriffe auf die AMC und ungewöhnliche OS-Befehle bzw. interne Anfragen der SMA1000-Appliance. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.