SonicWall SMA 1000: Kritische Lücke CVE-2026-102255 drei Tage nach Patch angegriffen

Zum dritten Mal in diesem Jahr hat SonicWall eine Lücke mit der Höchstwertung 10,0 in derselben Komponente seiner SMA-1000-Appliances geschlossen — und zum dritten Mal haben Angreifer schneller reagiert als viele Administratoren. Drei Tage nach dem Patch tauchten die ersten Angriffsversuche in Honeypots auf.

Das Wichtigste in Kürze

• CVE-2026-102255, CVSS 10,0: Server-Side Request Forgery (SSRF) im Work-Place-Interface der SMA-1000-Serie, ohne Anmeldung ausnutzbar.
• Betroffen sind die Modelle 6210, 7210 und 8200v mit Firmware 12.4.3-03526 und älter sowie 12.5.0-02952 und älter.
• Patches seit dem 6. Oktober 2026: 12.4.3-03670 und 12.5.0-03082 (jeweils Platform-Hotfix), Advisory SNWLID-2026-0017.
• Seit dem 9. Oktober beobachtet der Sicherheitsdienstleister Previdian Angriffsversuche in seinen Sensoren — bislang 135 Versuche von zwei IP-Adressen.
• SonicWall hat das Advisory bis Redaktionsschluss nicht um einen Hinweis auf aktive Ausnutzung ergänzt.
• Nicht betroffen: SMA-100-Serie und das SSL-VPN auf SonicWall-Firewalls.

Was die Lücke erlaubt

Eine SMA 1000 ist ein Fernzugriffs-Gateway: Sie steht am Netzrand und lässt externe Mitarbeiter ins Firmennetz. Genau diese Position macht die Lücke so gefährlich. SonicWall beschreibt den Fehler als „unbeabsichtigten alternativen Zugriffspfad“ im Work-Place-Interface, dem Benutzerportal der Appliance. Über diesen Pfad arbeitet das Gerät als Proxy: Ein Angreifer schickt eine präparierte Anfrage, und die Appliance leitet sie an interne Dienste weiter, die von außen nie erreichbar sein sollten.

Es braucht dafür keine Zugangsdaten und keine Interaktion eines Nutzers — nur Netzwerkzugang zum Portal, das bei einem VPN-Gateway naturgemäß im Internet hängt. Welche internen Funktionen sich darüber erreichen lassen, hat SonicWall nicht veröffentlicht. Die beobachteten Angriffe geben darauf aber eine Antwort.

Wie die Angriffe aussehen

Previdian-Gründer Ryan Dewhurst hat die aufgezeichneten Anfragen beschrieben: Die Angreifer schicken eine manipulierte OPTIONS-Anfrage an das Extraweb-Interface des Work Place und zielen damit auf den internen CouchDB-Dienst der Appliance, der auf 127.0.0.1:5984 lauscht. Der Payload versucht, per Pfad-Traversal in ein CouchDB-Design-Dokument zu gelangen und dessen _rewrite-Funktion aufzurufen — und liefert dabei einen HTTP-Basic-Auth-Header mit den Zugangsdaten admin:admin mit.

Ob einer dieser Versuche auf einem echten Gerät erfolgreich gewesen wäre, kann Previdian nach eigener Aussage nicht sagen. Die Honeypots zeichnen Anfragen auf, sie führen sie nicht aus. Beazley Security hat als Absender die Adresse 146.70.143[.]142 veröffentlicht; laut The Hacker News stammen die bisher 135 Versuche von zwei IP-Adressen in den USA.

Dewhurst betont, dass die Technik sich von den SSRF-Angriffen im Juli und September unterscheidet, obwohl dieselbe Schnittstelle betroffen ist. Ein öffentlicher Proof-of-Concept war bis Redaktionsschluss nicht bekannt.

Die dritte Runde seit Juli

CVE-2026-102255 ist bereits die fünfte SMA-1000-Lücke seit Juli, die aktiv angegriffen wird:

• Juli 2026: CVE-2026-15409 (CVSS 10,0) und CVE-2026-15410 (CVSS 7,2) wurden wochenlang als Zero-Days ausgenutzt. Die Gruppe, von Analysten als UTA0533 geführt, installierte Java-Webshells und Schadsoftware namens KNUCKLEBALL. Rapid7 beobachtete, wie die Angreifer nach dem Einbruch Zugangsdaten, aktive Sitzungsdatenbanken und die TOTP-Seeds der Zwei-Faktor-Authentifizierung abgriffen und damit ins interne Netz weiterzogen.
• September 2026: CVE-2026-83548 und CVE-2026-83549 wurden kombiniert, um Code auf den Gateways auszuführen — ebenfalls bevor ein Patch verfügbar war.
• Oktober 2026: Die jetzige Lücke. SonicWalls Beschreibung ähnelt der von CVE-2026-83548 stark; ob es sich um eine Variante oder eine Umgehung des alten Fixes handelt, sagt der Hersteller nicht.

Ein Detail trifft besonders die, die im September schnell reagiert haben: Die Version 12.5.0-02952, die damals die Zero-Days schloss, steht jetzt selbst auf der Liste der verwundbaren Builds. Wer sie installiert hat, muss erneut aktualisieren.

Drei weitere Lücken im selben Advisory

Der Hotfix behebt zusätzlich drei Schwachstellen, die eine Anmeldung voraussetzen:

• CVE-2026-102256: OS-Command-Injection.
• CVE-2026-102257: Zip-Slip-Pfad-Traversal in der Appliance Management Console (AMC), die zur Codeausführung führt.
• CVE-2026-102258: Stored Cross-Site-Scripting in der AMC.

In Kombination mit der SSRF-Lücke sind diese Fehler nicht harmlos: Wer über den Proxy-Pfad an interne Funktionen kommt, hat unter Umständen genau die Berechtigungen, die diese „Post-Auth“-Lücken voraussetzen.

Was Administratoren jetzt tun sollten

• Sofort patchen auf 12.4.3-03670 oder 12.5.0-03082. Die Hotfixes liegen bei MySonicWall. Nicht auf den Zusatz „aktiv ausgenutzt“ im Advisory warten — der fehlt bislang, obwohl die Angriffe laufen.
• Logs prüfen auf OPTIONS-Anfragen an das Work-Place-Interface, auf Zugriffe mit Port 5984 im Pfad und auf die genannte IP-Adresse.
• Vom Vorfall ausgehen, wenn das Gerät zwischen dem 6. und dem Patch-Zeitpunkt exponiert war: Sitzungen beenden, Zugangsdaten und TOTP-Seeds zurücksetzen. Die Juli-Angriffe haben gezeigt, dass genau diese Daten das Ziel sind.
• Exposition reduzieren. Shadowserver zählt über 400 SMA-1000-Appliances mit öffentlich erreichbarem Portal. Ein Management-Interface gehört nicht ins Internet; das Benutzerportal lässt sich zumindest per Geo- oder IP-Filter einschränken.

Wer eine ähnliche Lage bei Fortinet verfolgt, findet in unserem Artikel zur FortiMail-Zero-Day-Lücke das Gegenstück: Dort fehlten die Patches noch, hier sind sie da — ausgenutzt wird in beiden Fällen.

Einordnung

Dreimal in einem Jahr dieselbe Schnittstelle, dreimal die Höchstwertung, dreimal aktive Angriffe: Das Work-Place-Interface der SMA 1000 ist für Angreifer offenkundig ein lohnendes Ziel, und die Fixes schließen jeweils die eine gemeldete Variante, nicht die Klasse des Problems. Für Betreiber heißt das, dass ein Patch-Zyklus von Wochen hier nicht reicht. Die Angreifer brauchten diesmal drei Tage.

Zugleich fällt auf, dass SonicWall sein Advisory nicht nachführt, obwohl mehrere Sicherheitsfirmen Angriffe dokumentiert haben. Wer seine Priorisierung am Hersteller-Advisory oder am CISA-KEV-Katalog ausrichtet — in dem die Lücke ebenfalls noch fehlt — patcht später als die Angreifer scannen.

Häufige Fragen

Ist meine SMA 100 betroffen?

Nein. SonicWall nennt ausdrücklich nur die SMA-1000-Serie (6210, 7210, 8200v). Die SMA-100-Serie und das SSL-VPN auf SonicWall-Firewalls sind nicht betroffen.

Gibt es einen Workaround ohne Patch?

SonicWall nennt keinen. Wer nicht sofort patchen kann, sollte das Work-Place-Interface zumindest per Firewall auf bekannte Quelladressen beschränken — das verringert die Angriffsfläche, ersetzt den Hotfix aber nicht.

Wurden Systeme tatsächlich kompromittiert?

Bislang sind nur Angriffsversuche in Honeypots belegt. Ob reale Appliances kompromittiert wurden, ist nicht bekannt. Angesichts der Vorgeschichte sollten Betreiber exponierter, ungepatchter Geräte davon ausgehen.

Quellen: SonicWall PSIRT, Advisory SNWLID-2026-0017 (6. Oktober 2026); CVE-Eintrag CVE-2026-102255; Previdian, Exploitation-Tracker zu CVE-2026-102255; Beazley Security Labs, Advisory BSL-A1223 mit Update vom 9. Oktober; Rapid7-Analyse zu den SMA-1000-Angriffen im Juli; Berichterstattung von BleepingComputer und The Hacker News. Abgerufen am 12.10.2026.