Schwachstelle in SonicWall SMA1000-Gateways wird aktiv angegriffen

Ausgangslage

SonicWall hat am 6. Oktober 2026 ein Sicherheitsadvisory veröffentlicht, das vier Schwachstellen in den Remote-Access-Gateways der Serie SMA1000 behandelt. Die Lücke CVE-2026-102255 ist besonders kritisch. Sie betrifft eine Server-Side Request Forgery (SSRF). Diese liegt vor der Anmeldung. Diese Schwachstelle ermöglicht es Angreifern, Anfragen im Namen der Appliance zu stellen und interne Funktionen zu erreichen.

Die Schwachstelle CVE-2026-102255 wurde erstmals am 9. Im Oktober 2026 hat BleepingComputer gemeldet, dass das Sicherheitsunternehmen Previdian über sein Honeypot-Netz eine Entdeckung gemacht hat. Dies geschah nur drei Tage nach der Veröffentlichung der Hotfixes durch SonicWall. Die Lücke ermöglicht es Angreifern, Anfragen im Namen der Appliance zu stellen und interne Funktionen zu erreichen, ohne sich anmelden zu müssen.

Hintergrund

Die Schwachstelle CVE-2026-102255 wurde von Benoît Sevens gemeldet. Sie entsteht durch einen unbeabsichtigten alternativen Zugriffspfad im WorkPlace-Interface, der das Gerät als Forward-Proxy arbeiten lässt. Angreifer können dadurch nicht autorisierte Operationen auslösen. Zusätzlich zu dieser kritischen Lücke wurden drei weitere Schwachstellen behoben, die eine Anmeldung voraussetzen.

Einordnung für die Schweiz

Die SMA-Modelle 6210, 7210 und 8200v werden hauptsächlich in grossen Firmen, Behörden und bei Managed Service Providern genutzt. Kleinere Unternehmen könnten betroffen sein, wenn sie Dienstleistungen von diesen Anbietern nutzen. Die Schwachstelle trägt die CVSS-Höchstwertung 10.0, was die Dringlichkeit der Behebung unterstreicht.

Was das für Unternehmen bedeutet

Wer ein SMA1000-Gateway verwendet, das auf das WorkPlace-Portal zugreifen kann, sollte den Hotfix sofort einrichten. Ein Aufschieben bis zum nächsten Wartungsfenster birgt erhebliche Risiken, da Angreifer bereits aktiv versuchen, die Lücke auszunutzen. Es gibt keinen Workaround, daher ist das Patching die einzige sichere Lösung.

Betroffene Branchen und Berufe

Die Schwachstelle in den SonicWall SMA1000-Gateways betrifft insbesondere Branchen, die stark auf Remote-Zugriff und sichere Netzwerkverbindungen angewiesen sind. Dazu gehören Finanzdienstleister, Gesundheitswesen, öffentliche Verwaltung und Managed Service Provider. Diese Branchen nutzen häufig Remote-Access-Gateways, um sicheren Zugriff auf interne Systeme und Daten zu ermöglichen.

Für die betroffenen Berufe, insbesondere IT-Administratoren und Sicherheitsverantwortliche, bedeutet dies eine erhöhte Arbeitsbelastung. Sie müssen nicht nur die Hotfixes umgehend installieren, sondern auch die Systeme überwachen und sicherstellen, dass keine Angriffsversuche erfolgreich sind. Dies erfordert eine kontinuierliche Überwachung und möglicherweise zusätzliche Schulungen, um auf neue Bedrohungen reagieren zu können.

Offene Fragen und nächste Schritte

Für Entscheider in Unternehmen stellt sich die Frage, wie sie ihre Systeme am besten schützen können, bis der Hotfix installiert ist. Allerdings ist dies nicht immer praktikabel, insbesondere wenn das Portal für den Betriebskritischen Zugriff benötigt wird. Eine weitere Frage betrifft die langfristige Strategie zur Verbesserung der Cybersicherheit. Unternehmen sollten prüfen, ob sie zusätzliche Sicherheitsmassnahmen ergreifen können, um sich gegen ähnliche Bedrohungen in Zukunft zu wappnen. Dies könnte die Implementierung von Zwei-Faktor-Authentifizierung, regelmässige Sicherheitsaudits und die Schulung der Mitarbeiter umfassen.

Ausblick

Bisher gibt es keine bestätigten Berichte über erfolgreich ausgeführte Angriffe, die Systeme tatsächlich kompromittiert haben. Allerdings zeigt die Aktivität im Honeypot-Netz von Previdian, dass Angreifer die Schwachstelle aktiv testen. Unternehmen sollten die Entwicklung genau verfolgen und ihre Systeme kontinuierlich überwachen.

Einordnung

Die Schwachstelle CVE-2026-102255 ist besonders gefährlich, da sie keine Anmeldung erfordert und Angreifer direkte Zugriffe auf interne Funktionen ermöglichen kann. Dies macht sie zu einem attraktiven Ziel für Cyberkriminelle, die nach Wegen suchen, Systeme zu kompromittieren.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet dies, dass sie besonders aufmerksam sein müssen, wenn sie Dienstleistungen von grösseren Firmen oder Managed Service Providern nutzen. Diese könnten betroffene Gateways einsetzen, was indirekt auch die KMU gefährden könnte. Eine regelmässige Überprüfung der verwendeten Dienstleistungen und eine enge Zusammenarbeit mit den Anbietern sind entscheidend.