Ein nicht authentifizierter Angreifer aus dem Netz kann das Work-Place-Interface der SMA1000-Appliance über einen unbeabsichtigten Nebenweg als Weiterleitungs-Proxy missbrauchen – eine Server-Side Request Forgery. Damit erreicht er Funktionen und Ziele, die eigentlich nicht von außen erreichbar sein sollten, und kann die Anmeldung vollständig umgehen. In Verkettung mit der Befehls-Injektion CVE-2026-83549 in der Management Console führt das zur Ausführung von Betriebssystembefehlen ohne jede vorherige Anmeldung. SonicWall bestätigt aktive Ausnutzung; CISA hat die Schwachstelle am 2. September 2026 in den KEV-Katalog aufgenommen. Besonders wichtig: Die im Juli 2026 ausgelieferten Fixstände 12.4.3-03453 und 12.5.0-02835 sind hier selbst betroffen – wer damals gepatcht hat, ist nicht geschützt.
Advisory als PDF herunterladenDas Work-Place-Interface der SMA1000-Appliance eröffnet in den betroffenen Firmwareständen einen unbeabsichtigten Nebenweg (unintended alternate access path): Die Appliance nimmt Anfragen entgegen und leitet sie weiter, ohne die Berechtigung des Aufrufers und das Ziel ausreichend zu prüfen. Ein nicht authentifizierter Angreifer aus dem Netz kann das Gerät damit als Weiterleitungs-Proxy missbrauchen (Server-Side Request Forgery, CWE-918, in Verbindung mit CWE-441 – unbeabsichtigter Proxy bzw. „Confused Deputy"). Er erreicht so interne Funktionen und Ziele, die von außen gar nicht erreichbar sein sollten – darunter die Appliance Management Console, deren Befehls-Injektion CVE-2026-83549 normalerweise Administratorrechte voraussetzt. Genau diese Verkettung macht aus einer Weiterleitungslücke eine vollständige Übernahme ohne Anmeldung.
CVE-2026-83549 ausgelöst| SMA1000-Firmware | Verwundbar | Fixversion |
|---|---|---|
| SMA1000 12.4.3 | 12.4.3-03453 und älter | 12.4.3-03526 |
| SMA1000 12.5.0 | 12.5.0-02835 und älter | 12.5.0-02952 |
| SMA 100 Serie · SSL-VPN auf SonicWall-Firewalls | nicht betroffen | — |
Betroffen ist ausschließlich die SMA1000-Serie (Modelle 6210, 7210, 8200v) – physisch wie virtuell. Die SMA-100-Serie und das SSL-VPN auf SonicWall-Firewalls sind laut Hersteller nicht betroffen. Achtung für alle, die im Juli 2026 gepatcht haben: Die damaligen Fixstände 12.4.3-03453 und 12.5.0-02835 bilden hier die obere Grenze des verwundbaren Bereichs – sie sind also selbst angreifbar. Die neuen Hotfixes 12.4.3-03526 und 12.5.0-02952 stehen über mysonicwall.com bereit. Einen Workaround gibt es laut SonicWall nicht.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff über das Remote-Access-Gateway oder ein Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung, Beweissicherung und Dokumentation.
In dieser Reihenfolge – Zugriff einschränken, Hotfix einspielen, Kompromittierung ausschließen, Zugangsdaten zurücksetzen.
6210, 7210, 8200v, physisch oder virtuell) mit einer Firmware bis einschließlich 12.4.3-03453 bzw. 12.5.0-02835 im Einsatz und aus dem Internet erreichbar ist. Der Juli-Patchstand schützt hier nicht.12.4.3-03526 bzw. 12.5.0-02952 oder neuer aktualisieren (Platform-Hotfix, verfügbar über mysonicwall.com). Wichtig: Der Hersteller macht die folgenden Schritte ausdrücklich zur Pflicht – der Hotfix allein genügt nicht.CVE-2026-83549)Zur Einordnung: Weder SonicWall noch CISA haben öffentliche Indikatoren (IP-Adressen, Hashes, Signaturen) veröffentlicht; ein öffentlicher Exploit-Code war zum Redaktionsschluss ebenfalls nicht bekannt. Da der Angriff über regulär aussehende Web-Anfragen läuft, ist er ohne detaillierte Zugriffs-Logs kaum zu erkennen. Der belastbarste Weg ist deshalb die vom Hersteller angebotene gemeinsame IoC-Prüfung mit dem SonicWall-Support plus die Auswertung Ihrer eigenen Appliance- und Perimeter-Logs. CISA hat für diese Schwachstelle ausdrücklich eine forensische Triage angeordnet – das unterstreicht, dass Patchen allein nicht als Nachweis der Unversehrtheit gilt.
Wichtig: Der Kern des Risikos liegt in der Verkettung: Die SSRF öffnet ohne Anmeldung den Weg bis zur Management Console, die Befehls-Injektion CVE-2026-83549 vollendet die Übernahme. Und die zweite Falle ist der Patchstand: Wer im Juli 2026 auf 12.4.3-03453 oder 12.5.0-02835 aktualisiert hat, sitzt genau auf der obersten verwundbaren Version – ein „ist gepatcht" aus dem Sommer ist hier keine Entwarnung.
SonicWall PSIRT Advisory SNWLID-2026-0016, „SonicWall SMA1000 Series Appliances Affected By Multiple Vulnerabilities" (v1.0, veröffentlicht 01.09.2026; betroffen 12.4.3-03453 und älter / 12.5.0-02835 und älter, behoben in 12.4.3-03526 / 12.5.0-02952; Workaround: keiner; intern entdeckt von William Perry und Adam Babis, SonicWall) · NVD-Eintrag CVE-2026-83548 (veröffentlicht 01.09.2026, Status „Analyzed" 03.09.2026; CVSS 3.1 Basiswert 10,0, Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H von SonicWall als CNA; CWE-918 und CWE-441) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 02.09.2026, Frist 05.09.2026 nach BOD 26-04, forensische Triage gefordert, Ransomware-Nutzung „Unknown") · Rapid7 Emergent Threat Response (kein öffentlicher Proof-of-Concept, keine öffentlichen IoCs und keine Zuordnung zu einem Akteur bekannt). Angaben nach bestem Wissen zum Stand 07.09.2026; Fixversion vor dem Einspielen gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte Anfragen an das Work-Place-Interface, unerwartete Weiterleitungen der Appliance und darüber ausgelöste Kommandoausführung. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.