Sonicwall hat am 1. September 2026 zwei kritische Schwachstellen in den SMA1000-Appliances bestätigt, die laut CISA bereits aktiv von Angreifern ausgenutzt werden. Die US-Cybersicherheitsbehörde nahm die beiden Sicherheitslücken am Folgetag in ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen auf. Unternehmen, die die Modelle SMA 6210, SMA 7210 oder die virtuelle Appliance SMA 8200v einsetzen, sind zu sofortigem Handeln aufgefordert.
Zwei Schwachstellen, unterschiedliche Angriffsvektoren
Die SMA1000-Serie fungiert als Secure Mobile Access (SMA)-Lösung und ermöglicht externen Nutzern einen abgesicherten Zugriff auf interne Unternehmensanwendungen und Ressourcen. Genau diese zentrale Funktion macht die identifizierten Lücken besonders brisant. Die erste Schwachstelle, EUVD-2026-69704 (CVE-2026-83548), erreicht mit einem CVSS-Score von 10,0 den maximalen Schweregrad. Es handelt sich um eine SSRF-Schwachstelle (Server-Side Request Forgery) in der Work-Place-Schnittstelle, die ohne vorherige Authentifizierung aus der Ferne ausgenutzt werden kann. Ein Angreifer kann das System dazu bringen, Anfragen an interne Systeme zu senden, die nicht für die Öffentlichkeit bestimmt sind, und so auf sensible Funktionen zugreifen.
Die zweite Sicherheitslücke, EUVD-2026-69707 (CVE-2026-83549), wird mit einem CVSS-Score von 7,8 bewertet. Hierbei handelt es sich um eine OS-Command-Injection in der Appliance Management Console. Voraussetzung für eine erfolgreiche Ausnutzung ist jedoch, dass sich der Angreifer bereits als Administrator anmelden kann. Ist dies der Fall, kann er Betriebssystembefehle einschleusen und Remote Code Execution (RCE) auf der Appliance erzwingen, was die vollständige Kontrolle über das Gerät bedeutet.
Technische Einordnung der SSRF-Lücke
Die als SSRF kategorisierte Schwachstelle CVE-2026-83548 ist besonders gefährlich, da sie keinerlei Authentifizierung erfordert. Laut Sonicwall entsteht der Fehler durch einen unbeabsichtigten alternativen Zugriffsweg in der Work-Place-Schnittstelle. Der CVSS-Vektor gibt an, dass ein Netzwerkzugriff als Voraussetzung genügt, die Angriffskomplexität gering ist und weder Privilegien noch eine Nutzerinteraktion erforderlich sind. Der EPSS-Score (Exploit Prediction Scoring System) liegt für diese Lücke bei 0,27, was eine Wahrscheinlichkeit von 27 Prozent für eine Ausnutzung innerhalb der nächsten 30 Tage anzeigt. Für die Command-Injection-Lücke liegt der EPSS-Score mit 0,92 deutlich höher, was auf eine besonders hohe Wahrscheinlichkeit der aktiven Ausnutzung hindeutet.
Betroffene Versionen und notwendige Maßnahmen
Von beiden Sicherheitslücken betroffen sind die SMA1000-Versionen 12.4.3-03453 mit Plattform-Hotfix und älter sowie 12.5.0-02835 mit Plattform-Hotfix und älter. Unternehmen sollten ihre Bestände an SMA1000-Appliances unverzüglich identifizieren und die von Sonicwall bereitgestellten Sicherheitsupdates einspielen. Die Aufnahme in den CISA-KEV-Katalog (Known Exploited Vulnerabilities) ist ein klares Signal für die Dringlichkeit, da die Behörde damit die aktive Ausnutzung durch Angreifer offiziell bestätigt hat.
Die Kombination aus einer unauthentifizierten SSRF-Lücke mit maximalem CVSS-Score und einer Command-Injection mit hohem EPSS-Score macht diese Sicherheitslage besonders ernst. Während die SSRF-Lücke es Angreifern ermöglicht, zunächst Informationen über interne Netzwerkstrukturen zu sammeln oder Dienste im internen Netz anzugreifen, stellt die Command-Injection eine Möglichkeit dar, bereits erlangte Administratorzugänge in eine vollständige Systemkompromittierung umzuwandeln. Die Priorität für das Patchen ist daher als äußerst hoch einzustufen. Administratoren sollten den Prozess umgehend einleiten und parallel dazu die Netzwerksegmentierung und Zugriffskontrollen auf ihre SMA1000-Systeme überprüfen.
