SonicWall SMA1000: Sicherheitslücke mit CVSS 10 schließen
SonicWall hat vier Lücken in der SMA1000-Reihe geschlossen, darunter eine SSRF ohne Anmeldung mit der Höchstwertung 10,0. Welche Firmware hilft, warum es keinen Workaround gibt und warum diese Gerätereihe in diesem Jahr schon zweimal angegriffen wurde.
Was hat SonicWall bei der SMA1000 geschlossen?
SonicWall hat am 6. Oktober 2026 vier Sicherheitslücken in den Fernzugangs-Appliances der SMA1000-Reihe geschlossen, die schwerste davon mit der Höchstwertung 10,0 nach CVSS. Der Sicherheitshinweis SNWLID-2026-0017 (öffnet in neuem Tab) nennt als betroffene Modelle die SMA 6210, die SMA 7210 und die virtuelle SMA 8200v. Die SMA1000 ist ein Gateway, über das Beschäftigte von außen auf interne Anwendungen und Netze zugreifen.
Die kritische Lücke trägt die Kennung CVE-2026-102255 und ist eine Server-Side Request Forgery, die ohne Anmeldung ausgenutzt werden kann. Die drei übrigen Lücken setzen ein Administratorkonto voraus und sind deshalb weniger dringlich, aber nicht harmlos: Zwei davon können zur Ausführung von Code auf dem Gerät führen. Zuerst berichtete im deutschsprachigen Raum heise online über das Update (öffnet in neuem Tab) am 7. Oktober 2026.
Für ein kleines oder mittleres Unternehmen ist die SMA1000 kein Randthema, sondern oft die einzige Tür, über die Außendienst, Homeoffice und Dienstleister ins Firmennetz kommen. Genau deshalb steht sie direkt im Internet – und genau deshalb ist jede Lücke darin wertvoller für Angreifer als dieselbe Lücke auf einem internen Server.
Wie funktioniert die SSRF-Lücke CVE-2026-102255?
CVE-2026-102255 erlaubt es einem nicht angemeldeten Angreifer, die Appliance dazu zu bringen, in seinem Auftrag Anfragen zu stellen und dabei interne Funktionen zu erreichen. Laut SonicWall liegt der Fehler in der Work-Place-Oberfläche, also dem Portal, an dem sich Nutzer anmelden: Ein unbeabsichtigter zweiter Zugangsweg wirkt dort wie ein offener Weiterleitungs-Proxy. Darüber lassen sich nach Angaben des Herstellers nicht autorisierte Operationen ausführen.
Eine Server-Side Request Forgery ist eine bekannte Angriffsklasse, die das OWASP-Projekt zu SSRF (öffnet in neuem Tab) ausführlich beschreibt: Der Angreifer lässt einen Server Anfragen an Ziele schicken, die er selbst nicht erreichen kann. Der Server genießt dabei das Vertrauen, das er im Netz hat – Angreifer und Server tauschen gewissermaßen die Rollen. Der Hersteller ordnet die Lücke deshalb zusätzlich als „Confused Deputy" ein, als Stellvertreter, der nicht merkt, für wen er arbeitet.
Die Wertung 10,0 ergibt sich daraus, dass der Angriff über das Netz läuft, keine Anmeldung und keine Mitwirkung eines Nutzers braucht und Wirkung über die Appliance hinaus haben kann. Der NVD-Eintrag zu CVE-2026-102255 (öffnet in neuem Tab) übernimmt diese Bewertung. Die US-Behörde CISA hat am 7. Oktober 2026 zusätzlich festgehalten, dass sich der Angriff automatisieren lässt und die technischen Folgen vollständig sein können.
Welche Firmware-Versionen sind betroffen und welche sicher?
Betroffen sind auf den Modellen 6210, 7210 und 8200v alle Versionen bis einschließlich 12.4.3-03526 und bis einschließlich 12.5.0-02952, jeweils als Platform-Hotfix. Sicher sind die Versionen 12.4.3-03670 und 12.5.0-03082 sowie alle höheren. Der Hotfix steht für Kunden im Portal mysonicwall.com zum Download bereit.
Welcher der beiden Zweige der richtige ist, hängt davon ab, auf welchem das Gerät heute läuft: Wer 12.4.3 betreibt, nimmt den Hotfix für 12.4.3, wer 12.5.0 betreibt, den für 12.5.0. Ein Wechsel des Zweigs ist ein größerer Eingriff mit eigenem Testbedarf und nicht nötig, um diese Lücken zu schließen. Läuft eine Appliance auf einer noch älteren Version außerhalb dieser beiden Zweige, sollte der Upgrade-Pfad vorab mit dem Hersteller oder dem betreuenden Dienstleister geklärt werden.
Ausdrücklich nennt SonicWall keinen Workaround – das Feld steht im Sicherheitshinweis auf „None". Es gibt also keine Konfigurationsänderung, mit der sich die Lücke ohne Update entschärfen ließe. Das unterscheidet diesen Fall von vielen anderen Hinweisen und ist der wichtigste Grund, das Update nicht auf das nächste reguläre Wartungsfenster zu schieben.
Welche drei weiteren Lücken stecken im selben Update?
Die drei weiteren Lücken betreffen alle angemeldete Administratoren und die Verwaltungsoberfläche Appliance Management Console. CVE-2026-102256 ist eine Befehlsinjektion, über die ein Administrator unter bestimmten Bedingungen beliebige Betriebssystembefehle ausführen kann, bewertet mit 7,8. CVE-2026-102257 ist eine sogenannte Zip-Slip-Lücke: Ein präpariertes Archiv legt beim Entpacken Dateien außerhalb des vorgesehenen Ordners ab und kann so ebenfalls zur Codeausführung führen, bewertet mit 7,2.
CVE-2026-102258 ist eine gespeicherte Cross-Site-Scripting-Lücke in der Verwaltungsoberfläche, über die ein Administrator JavaScript-Code hinterlegen kann, der später im Browser anderer Administratoren läuft. SonicWall bewertet sie mit 5,5. Gemeldet wurden die SSRF und die Befehlsinjektion laut Hinweis von Benoît Sevens von Anthropic, die beiden anderen von Brian Mariani, eine davon über die Zero Day Initiative.
Einzeln betrachtet wirken Lücken, die ein Administratorkonto voraussetzen, wenig dringlich. Zusammen ergeben sie aber eine mögliche Kette: Wer über einen anderen Weg – etwa gestohlene Zugangsdaten – an ein Administratorkonto kommt, könnte mit der Befehlsinjektion oder dem Zip Slip dauerhaft Code auf der Appliance verankern. Das gemeinsame Update schließt alle vier Wege auf einmal.
Warum die SMA1000 ein bevorzugtes Angriffsziel ist
Die SMA1000 ist ein bevorzugtes Ziel, weil sie aus dem Internet erreichbar ist und gleichzeitig Zugang zum internen Netz vermittelt. Wie oft das ausgenutzt wird, zeigt der Katalog aktiv ausgenutzter Lücken der CISA (öffnet in neuem Tab): Er führt seit Januar 2025 sechs Lücken der SMA1000-Reihe, aufgenommen am 24. Januar 2025, am 17. Dezember 2025, am 14. Juli 2026 und am 2. September 2026. Unter den Einträgen aus diesem Jahr sind zwei weitere Server-Side Request Forgeries.
Für die neue Lücke meldet SonicWall bislang keine Hinweise auf eine Ausnutzung, und auch die Bewertung der CISA vom 7. Oktober 2026 nennt keine. Die Geschichte dieser Gerätereihe legt aber nahe, dass Angreifer Updates für die SMA1000 genau beobachten und aus einem Hotfix ableiten, wo der Fehler lag. Dass heute keine Angriffe bekannt sind, sagt deshalb wenig darüber, wie es in zwei Wochen aussieht.
Wer im Sommer bereits die Juli- oder September-Lücken einspielen musste, kennt den Ablauf – und sollte ihn als Regelfall einplanen, nicht als Ausnahme. Ein fester Verantwortlicher, eine dokumentierte Update-Routine und ein Abonnement der Hinweise des Herstellers sind für ein Gerät dieser Art Teil der laufenden Wartung, nicht ein Projekt.
Was Unternehmen mit SMA1000 jetzt tun sollten
Unternehmen mit einer SMA1000 sollten zuerst klären, ob und welches Modell im Einsatz ist und welche Firmware darauf läuft. Die Versionsangabe steht in der Appliance Management Console; liegt der Betrieb bei einem IT-Dienstleister, ist die Frage nach Modell, Version und geplantem Update-Termin in einer E-Mail gestellt. Wer keine SMA1000, sondern eine andere SonicWall-Lösung betreibt, prüft trotzdem kurz, ob das tatsächlich so ist – die Produktnamen ähneln sich.
Danach wird der passende Hotfix eingespielt, vor dem Update eine Sicherung der Konfiguration exportiert und nach dem Update geprüft, ob Anmeldung und Zugriffe wie gewohnt funktionieren. Weil es keinen Workaround gibt, ist die einzige Alternative zum Update, das Work-Place-Portal vorübergehend nicht aus dem Internet erreichbar zu machen – mit der Folge, dass der Fernzugang für diese Zeit ausfällt.
Im dritten Schritt lohnt ein Blick auf die Konten: Sind alle Administratorkonten bekannt, durch Zwei-Faktor-Authentifizierung geschützt und nur von dort erreichbar, wo sie gebraucht werden? Unbekannte Konten, ungewöhnliche Anmeldezeiten oder Konfigurationsänderungen, die niemand vorgenommen hat, sind Anlass für eine genauere Untersuchung – im Zweifel durch ein unabhängiges Sicherheitsaudit des Fernzugangs.
Fernzugang so aufbauen, dass eine Lücke nicht alles öffnet
Ein Fernzugang sollte so aufgebaut sein, dass eine kompromittierte Appliance nicht automatisch das ganze Netz erreicht. Das Grundprinzip dahinter heißt Zero Trust: Kein Zugriff gilt als vertrauenswürdig, nur weil er von innen kommt, und jedes Ziel ist nur für die Nutzer und Geräte freigegeben, die es tatsächlich brauchen. Die Appliance bekommt dann ebenfalls nur die Verbindungen, die für ihre Aufgabe nötig sind.
Praktisch heißt das: Die SMA1000 steht in einem eigenen Netzsegment, eine Firewall dahinter erlaubt nur definierte Ziele und Ports, und die Verwaltungsoberfläche ist aus dem Internet gar nicht erreichbar. Ausgehende Verbindungen der Appliance werden protokolliert, sodass auffällige Anfragen an interne Systeme sichtbar werden. Gerade bei einer SSRF ist das der Punkt, an dem ein Angriff auffällt oder eben nicht.
Solche Maßnahmen ersetzen das Update nicht und sind kein offizieller Workaround für diese Lücke. Sie verringern aber, was ein Angreifer nach einem erfolgreichen Einbruch tun kann – und das gilt auch für die nächste Lücke, deren Kennung heute noch niemand kennt. Für Unternehmen, die unter die NIS2-Pflichten fallen oder Zulieferer solcher Unternehmen sind, gehört diese Planung ohnehin zum Risikomanagement; wer das betrifft, klärt unser Beitrag zu NIS2 für kleine Unternehmen.
Was die Lücke nicht betrifft – und wo sie endet
Die Lücken betreffen ausschließlich die SMA1000-Reihe mit den Modellen 6210, 7210 und 8200v. SonicWall stellt ausdrücklich klar, dass weder das SSL-VPN auf SonicWall-Firewalls noch die kleinere Produktreihe SMA 100 betroffen ist. Wer seinen Fernzugang über eine SonicWall-Firewall oder eine SMA 100 abwickelt, muss wegen dieses Hinweises nichts tun – andere Hinweise für diese Geräte bleiben davon unberührt.
Auch die Einordnung der Lücke selbst hat Grenzen. Der Hersteller beschreibt, dass ein Angreifer interne Funktionen erreichen und nicht autorisierte Operationen ausführen kann, nennt aber keine Einzelheiten, welche Funktionen das sind. Aussagen, die Lücke gebe direkten Zugriff auf alle Daten im Firmennetz, gehen über das hinaus, was SonicWall veröffentlicht hat.
Und schließlich schützt ein eingespieltes Update nur vor dem, was ab dann passiert. Falls ein Gerät vor dem Update bereits angegriffen wurde, schließt der Hotfix die Lücke, entfernt aber keine Konten, Dateien oder Konfigurationsänderungen, die ein Angreifer hinterlassen hat. Deshalb gehört die Prüfung der Konten und Änderungen zum Update dazu und nicht in eine spätere Aufräumrunde.
Quellen
- Sicherheitshinweis SNWLID-2026-0017(öffnet in neuem Tab)psirt.global.sonicwall.com
- heise online über das Update(öffnet in neuem Tab)www.heise.de
- OWASP-Projekt zu SSRF(öffnet in neuem Tab)owasp.org
- NVD-Eintrag zu CVE-2026-102255(öffnet in neuem Tab)nvd.nist.gov
- Katalog aktiv ausgenutzter Lücken der CISA(öffnet in neuem Tab)www.cisa.gov