SonicWall hat zwei Zero-Day-Lücken in seinen SMA1000-Geräten geschlossen, nachdem Sicherheitsforscher sie seit mindestens dem 22. Juni aktiv ausgenutzt vorfanden. Das ist ein eigenständiger Vorfall, getrennt von der SonicWall-SSL-VPN-Lücke, die zur Datenpanne bei über 70 Banken und Kreditgenossenschaften im Juni führte, eine Erinnerung daran, dass VPN-Geräte für Unternehmen 2026 ein wirklich schwieriges Jahr haben.

Die Schwachstellen

CVE-2026-15409 ist eine kritische Server-Side-Request-Forgery-Lücke (CVSS-Score 10.0, der Maximalwert) im Work-Place-Interface der SMA1000-Geräte, die es einem entfernten, nicht authentifizierten Angreifer erlaubt, das Gerät zu Anfragen an Ziele seiner Wahl zu zwingen. CVE-2026-15410 ist eine Code-Injection-Lücke nach der Authentifizierung, mit hohem Schweregrad (CVSS 7.2), in der Management-Konsole, die einem authentifizierten Administrator-Konto die Ausführung beliebiger Betriebssystembefehle erlaubt. Kombiniert eröffneten die beiden Lücken Angreifern einen Weg von null Zugriff bis zur vollständigen Gerätekompromittierung.

Betroffen sind SonicWalls SMA6210, SMA7210 und SMA8200v, die SMA1000-Serie, mit der Unternehmen sicheren Fernzugriff bereitstellen, im Grunde Unternehmens-VPN-Gateways.

Wie Angreifer die Lücken nutzten

Forscher von Rapid7 und Volexity, die die Ausnutzung einem Akteur mit der Bezeichnung UTA0533 zuordneten, stellten fest, dass beide Lücken im Zusammenspiel für unauffälligen Erstzugriff genutzt wurden. Einmal drin, extrahierten die Angreifer hochwertige Daten: gespeicherte Zugangsdaten, aktive Sitzungsdatenbanken und TOTP-Seed-Konfigurationen für die Zwei-Faktor-Authentifizierung. Das Abgreifen von MFA-Seeds macht diesen Fall schlimmer als einfachen Zugangsdatendiebstahl, es erlaubt Angreifern, gültige Zwei-Faktor-Codes zu generieren und langfristigen Zugriff zu behalten, selbst nach einem Passwort-Reset, sofern nicht auch die MFA-Seeds selbst erneuert werden.

Zeitleiste

Die Ausnutzung begann laut Volexitys Analyse bereits am 22. Juni 2026. SonicWall informierte Kunden direkt vor der öffentlichen Offenlegung und riet, sich für Hotfixes (Versionen 12.4.3-03453 und 12.5.0-02835) an den Support zu wenden, bevor diese am 14. Juli öffentlich verfügbar wurden. Die CISA nahm beide CVEs in ihren Katalog aktiv ausgenutzter Schwachstellen auf und ordnete US-Bundesbehörden an, bis zum 17. Juli 2026 nachzubessern und zu prüfen, ob eigene Geräte bereits kompromittiert waren.

Warum das SonicWall speziell wieder trifft

Das ist der zweite größere VPN-Vorfall bei SonicWall in ebenso vielen Monaten, der Schlagzeilen macht. Im Juni wurde eine separate SSL-VPN-Lücke, die eine MFA-Umgehung ermöglichte, von der Ransomware-Gruppe Akira genutzt, um bei Marquis Software Solutions einzudringen, einem Dienstleister für Gemeinschaftsbanken und Kreditgenossenschaften, wodurch Daten von mehr als 70 Instituten offengelegt wurden. Diese Lücke und die aktuelle betreffen unterschiedliche Schwachstellen in unterschiedlichen Produktlinien, aber das Muster ist dasselbe: Unternehmens-VPN-Gateways sitzen konstruktionsbedingt am Netzwerkrand, was sie zu einem besonders wertvollen und bei Fehlern besonders schädlichen Ziel macht.

Unternehmens-SSL-VPN-Geräte haben generell eine schwierige Phase hinter sich; auch Fortinets FortiOS-SSL-VPN sah dieses Jahr aktive Ausnutzung einer Jahre alten Lücke. Wer im Unternehmen ein internetseitiges VPN-Gateway betreibt, sollte Patch-Zyklen für genau diese Geräteklasse als höhere Priorität behandeln als allgemeine Software-Updates, angesichts der Häufigkeit, mit der sie 2026 ins Visier geraten sind.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Was das für Privatanwender-VPNs bedeutet

Wer einen Consumer-VPN-Dienst wie NordVPN, ExpressVPN oder Surfshark für private Zwecke oder Streaming nutzt, ist von diesem konkreten Vorfall nicht direkt betroffen, SMA1000-Geräte sind Unternehmens-Gateways für Fernzugriff, keine Consumer-VPN-Apps, und laufen auf grundlegend anderer Infrastruktur. Die breitere Lehre: VPN-Software jeder Art ist nur so sicher wie die Patch-Disziplin des Anbieters, und Anbieter mit nachweislich schneller, transparenter Offenlegung, die Art, die unabhängige No-Logs-Audits und Transparenzberichte abdecken, sind diejenigen, denen man den eigenen Traffic anvertrauen sollte.

Einordnung für IT-Verantwortliche

Wer selbst keine SonicWall-Geräte betreibt, sollte den Fall trotzdem als Anlass nehmen, die eigene Patch-Routine für alle internetseitigen Netzwerkgeräte zu überprüfen, nicht nur VPN-Gateways. Firewalls, Fernzugriffslösungen und ähnliche Edge-Geräte teilen dieselbe strukturelle Verwundbarkeit: Sie müssen von außen erreichbar sein, um ihre Funktion zu erfüllen, was sie zu dauerhaften Zielen macht, unabhängig vom Hersteller.

Was SonicWall-SMA1000-Kunden jetzt tun sollten

Die Hotfixes sofort einspielen, falls noch nicht geschehen; beide CVEs sind bestätigt aktiv ausgenutzt, nicht theoretisch. Zugangsdaten und, entscheidend, die MFA-Seed-Konfigurationen betroffener Konten erneuern, denn Seed-Diebstahl übersteht einen einfachen Passwort-Reset. Sitzungsprotokolle seit dem 22. Juni auf Anzeichen des von Forschern beschriebenen kombinierten Angriffsmusters prüfen. Bei tatsächlicher Betroffenheit liefern sowohl Rapid7 als auch SonicWalls eigenes Advisory Kompromittierungsindikatoren zum Abgleich.

SSRF und Code-Injection, einfach erklärt

Server-Side Request Forgery bedeutet, einen Server dazu zu bringen, im Auftrag des Angreifers Netzwerkanfragen zu stellen, von innerhalb des Netzwerkperimeters, den das Gerät normalerweise schützt, wodurch das VPN-Gateway selbst zum Sprungbrett wird, sobald die SSRF-Lücke ausgelöst ist. Code-Injection bedeutet, Betriebssystembefehle in ein Feld einzuschleusen, das die Management-Oberfläche des Geräts nicht zur direkten Ausführung vorgesehen hatte, wodurch administrativer Zugriff zu vollständiger Befehlsausführung wird. Keine der beiden Schwachstellenklassen ist neu oder exotisch; gefährlich wurde es durch die Verkettung einer nicht authentifizierten SSRF mit einer Injection-Lücke nach der Authentifizierung, die erste Lücke diente dazu, eine Position zu erreichen, von der aus die zweite ausnutzbar wurde, ganz ohne je gültige Zugangsdaten zu benötigen.

Wer ist UTA0533

UTA0533 ist die Arbeitsbezeichnung, die Volexity dem Akteur hinter dieser Kampagne gegeben hat, kein Name, der zu einer bereits bekannten Gruppe gehört, typisch für einen neu identifizierten Aktivitätscluster statt eines Rebrandings einer etablierten Bande. Der Fokus auf das Abgreifen von Zugangsdaten und MFA-Seeds statt auf schnelle Ransomware-Auslieferung deutet auf einen Akteur hin, der langfristigen, unauffälligen Zugriff einer schnellen Auszahlung vorzieht, ein Muster, das Sicherheitsforscher zunehmend mit spionagemotivierten statt rein finanziell motivierten Angriffen verbinden, wobei die Zuordnung in diesem frühen Stadium noch vorläufig bleibt.

Ein Muster in 2026, kein Einzelfall

Zoomt man heraus, ist das der dritte oder vierte größere Vorfall bei Unternehmens-VPN-Gateways in diesem Jahr, bei unterschiedlichen Herstellern: die SonicWall-SSL-VPN-Lücke im Zusammenhang mit der Bankendatenpanne bei Marquis Software im Juni, Fortinets FortiOS-SSL-VPN mit erneuter Ausnutzung einer jahrealten Authentifizierungsumgehung, und jetzt dieses SMA1000-Zero-Day-Paar. Keiner dieser Fälle betrifft Consumer-Produkte, aber sie teilen eine Ursache, die es zu benennen lohnt: internetseitige VPN-Gateways sind wertvolle, gut sichtbare Ziele, und die Geräte dahinter werden nicht immer so schnell gepatcht wie Software auf Endgeräten, teils weil das Offline-Nehmen eines Unternehmens-Gateways für ein Update echte Geschäftskosten verursacht, die ein Handy- oder Laptop-Update nicht hat.

Worauf als Nächstes zu achten ist

Die Liste der aktiv ausgenutzten Schwachstellen der CISA ist das schnellste öffentliche Signal dafür, ob eine Lücke wie diese in großem Maßstab bewaffnet wird oder auf eine enge, gezielte Kampagne begrenzt bleibt; beide CVEs stehen bereits darauf. Weitere Enthüllungen sind zu erwarten, falls sich UTA0533s Aktivität später mit breiteren Opferlisten verknüpfen lässt, ein typisches Muster, sobald erste Berichte mehr Aufmerksamkeit von Forschern auf eine Kampagne lenken.

Unser Fazit

Zwei kritische, aktiv ausgenutzte Zero-Day-Lücken in Unternehmens-VPN-Hardware, gepatcht, aber erst nach rund drei Wochen Ausnutzung im Feld. Wer SonicWall-SMA1000-Geräte administriert, sollte jetzt patchen und MFA-Seeds erneuern, das ist kein theoretisches Risiko. Für Privatanwender-VPN-Nutzer erinnert der Vorfall daran, dass Unternehmens-VPN-Gateways und Consumer-VPN-Apps unterschiedliche Produkte mit unterschiedlichen Risikoprofilen sind, Schlagzeilen zum einen sollten nicht ohne triftigen Grund das Vertrauen ins andere erschüttern.

Mehr zu Unternehmens-VPN-Sicherheitsvorfällen in diesem Jahr: unsere Berichterstattung zur SonicWall-Bankendatenpanne und der breitere Blick auf Unternehmens-SSL-VPN-Sicherheitslücken 2026.