SonicWall hat am 6. Oktober 2026 den Sicherheitshinweis SNWLID-2026-0017 veröffentlicht: Vier Schwachstellen in der SMA 1000-Serie, eine davon mit dem maximalen CVSS-Wert von 10,0. Die kritischste Lücke (CVE-2026-102255) erlaubt es einem Angreifer ohne jede Anmeldung, die Appliance zu einem unerwünschten Forward-Proxy zu machen und interne Funktionen anzusprechen. Die Details hat Borns IT-Blog am 7. Oktober zusammengefasst.

Die SMA 1000 ist kein Nischenprodukt. Viele mittelständische Betriebe setzen die Geräte 6210, 7210 oder 8200v als Gateway für Remote-Zugriff, ZTNA und VPN ein – also genau dort, wo Mitarbeiter von unterwegs auf interne Systeme zugreifen. Wer so ein Gerät betreibt und die WorkPlace-Schnittstelle extern erreichbar macht, hat mit dieser Lücke ein konkretes Problem: Ein Angreifer aus dem Internet braucht weder Login noch Administratorrechte. Im ungünstigen Fall gelingt es ihm, die Appliance dazu zu bringen, interne Dienste im eigenen Namen abzufragen – und damit den ersten Fuß in das Netzwerk zu setzen. SonicWall-Firewalls und die SMA-100-Serie sind laut all-about-security.de nicht betroffen; SSL-VPN auf SonicWall-Firewalls ebenfalls nicht.

Was technisch konkret betroffen ist

Die vier CVEs im Einzelnen: CVE-2026-102255 (CVSS 10,0) ist eine Pre-Authentication SSRF in der WorkPlace-Schnittstelle. Laut all-about-security.de durchläuft der Angreifer einen unbeabsichtigten Zugriffspfad über eine manipulierte OPTIONS-Anfrage, die den internen CouchDB-Zugriff erreicht, ohne dass Authentifizierung am Perimeter greift. CVE-2026-102256 ist eine OS Command Injection, die einen Administrator-Login erfordert; hier widersprechen sich die Quellen leicht – borncity.com nennt CVSS 7,9, all-about-security.de und heise.de 7,8. CVE-2026-102257 (CVSS 7,2) ist eine Zip-Slip-Lücke in der Appliance Management Console (AMC), CVE-2026-102258 (CVSS 5,5) ein Stored XSS, ebenfalls in der AMC. Beide erfordern einen Login.

Betroffen sind die Firmware-Stände 12.4.3-03526 und älter sowie 12.5.0-02952 und älter. Gefixt ist ab 12.4.3-03670 beziehungsweise 12.5.0-03082. Wichtig: Die Patch-Stände vom September, die eine bereits ausgenutzte SSRF-Lücke schlossen, enthalten den anfälligen Code für die neue Lücke noch. Geräte, die auf 12.4.3-03526 oder 12.5.0-02952 laufen, brauchen also zwingend die neuen Hotfixes.

Bei der Frage, ob die Lücke bereits ausgenutzt wird, widersprechen sich die Quellen. SonicWall selbst nennt in der Advisory keine aktive Ausnutzung der vier neuen CVEs. Telemetriedaten von Previdian, die all-about-security.de zitiert, zeigen jedoch, dass externe Angreifer bereits Datenverkehr an anfällige Systeme senden. Heise verweist zudem darauf, dass SonicWall Anfang September bereits eine SSRF-Lücke in derselben WorkPlace-Schnittstelle schließen musste, die damals aktiv ausgenutzt wurde – ob die neue Lücke eine Umgehung des damaligen Fixes ist, lässt SonicWall offen.

Was jetzt zu tun ist

1. Firmware-Check: In der AMC oder über das MySonicWall-Portal die aktuelle Build-Nummer ablesen. Liegt sie bei 12.4.3-03526, 12.5.0-02952 oder darunter, ist das Gerät betroffen.
2. Hotfix einspielen: Über das MySonicWall-Portal die Version 12.4.3-03670 bzw. 12.5.0-03082 (oder neuer) laden und installieren. Die Appliance startet danach automatisch neu – entsprechend ein Wartungsfenster einplanen.
3. IoCs prüfen: SonicWall empfiehlt, Indicators of Compromise zu kontrollieren. Werden Spuren gefunden, gilt: Appliance neu abbilden oder neu deployen, Passwörter und TOTP-Tokens zurücksetzen.

Laut it-boltwise.de ist es die dritte Runde in diesem Jahr, in der SonicWall eine WorkPlace-SSRF nachschärfen muss. Man könnte fast meinen, das Gateway hat eine Vorliebe für ungebetene Gäste. Wenn Sie unsicher sind, ob Ihre SMA 1000 aktuell ist und die WorkPlace-Schnittstelle sauber nach außen abgesichert wird, schauen wir uns das gerne einmal an – von der Versionsprüfung bis zum IoC-Abgleich. Hier erreichen Sie uns.

Beitragsbild: panumas nikhomkhai auf Pexels