SonicWall SMA1000 unter Beschuss: Zwei Zero-Days, CVSS 10.0 – und warum VPN-Appliances das liebste Einfallstor für Ransomware sind

Mitte Juli 2026 hat SonicWall eine dringende Sicherheitswarnung für seine SMA-1000-Serie herausgegeben – jene Appliances, mit denen Unternehmen ihren Mitarbeitern gesicherten Fernzugriff aufs Firmennetz gewähren. Der Anlass: zwei Zero-Day-Schwachstellen, die nachweislich bereits aktiv ausgenutzt werden. Eine davon trägt den maximal möglichen Schweregrad CVSS 10.0.

Das ist keine Formalie. Ein VPN-Zugang steht per Definition offen im Internet – er muss es, sonst könnte niemand von außen darauf zugreifen. Wenn ausgerechnet dieses Gerät eine unauthentifizierte Lücke mit dem Höchstwert 10.0 aufweist, dann steht die Haustür eines Unternehmens nicht nur einen Spalt offen, sondern sperrangelweit – und Angreifer wissen das. Die US-Behörde CISA hat die Schwachstelle umgehend in ihren Katalog bekannter ausgenutzter Lücken (Known Exploited Vulnerabilities) aufgenommen und US-Bundesbehörden verpflichtet, bis zum 17. Juli 2026 zu patchen. Kürzere Fristen vergibt die CISA praktisch nie.

Beide Lücken wurden von Adam Babis aus dem SonicWall-eigenen PSIRT-Team entdeckt und gemeldet; bei der Untersuchung der aktiven Angriffe wirkte zusätzlich die auf Edge-Geräte spezialisierte Sicherheitsfirma Volexity (Sean Koessel, Steven Adair) mit. SonicWalls PSIRT bestätigt ausdrücklich, „mehrere Fälle untersucht" zu haben, die auf eine aktive Ausnutzung hindeuten.

Für sich genommen wirkt der CVSS 7.2 der zweiten Lücke moderat. Gefährlich wird sie in der Verkettung: SonicWall stuft die Gesamt-Warnung deshalb trotz der Einzelwertung mit Schweregrad 10.0 ein.

Wer eine der oben genannten verwundbaren Builds im Einsatz hat, sollte den Sprung auf 12.4.3-03453 bzw. 12.5.0-02835 (oder neuer) mit höchster Priorität behandeln.

Der vielleicht wichtigste Satz der SonicWall-Warnung lautet sinngemäß: Wenn eine Appliance bereits kompromittiert wurde, genügt ein Update nicht. Weil ein Angreifer über CVE-2026-15410 Systembefehle mit Administratorrechten ausführen konnte, muss im Verdachtsfall vom Schlimmsten ausgegangen werden. SonicWall empfiehlt in diesem Fall, die Appliance neu aufzusetzen (physische Geräte re-imagen, virtuelle neu ausrollen), sämtliche Zugangsdaten zurückzusetzen und die TOTP-Token neu zu generieren.

Für die forensische Prüfung nennen SonicWall und Volexity konkrete Anlaufstellen auf dem Gerät: die Protokolldateien extraweb_access.log und ctrl-service.log sowie die Konfigurationsdatei /var/lib/unit/conf.json. Auffällige Einträge dort sind ein starkes Indiz für einen erfolgten Zugriff.

Dass ausgerechnet Fernzugriffs-Appliances so häufig im Visier stehen, ist kein Zufall, sondern Logik. Vier Eigenschaften machen sie zum idealen Ziel:

Genau deshalb tauchen Edge-Geräte in der Ursachenanalyse von Ransomware-Vorfällen so überproportional häufig auf. Die Ransomware-Gruppe Akira, die in gleich zwei der Vorfälle oben auftaucht, hat ihr Vorgehen zur Routine verfeinert: Erstzugang über die VPN-/Firewall-Appliance, innerhalb von Stunden Ausbreitung bis zum Domänencontroller, Diebstahl von Zugangsdaten, Abschalten des Virenschutzes – und erst am Ende die Verschlüsselung.

Das BSI empfiehlt, rund 20 % des IT-Budgets gezielt in Cybersicherheit zu investieren; in vielen Unternehmen liegt der tatsächliche Anteil deutlich darunter. Dem gegenüber steht der Schaden eines erfolgreichen Ransomware-Angriffs, der regelmäßig im sechs- bis siebenstelligen Bereich liegt – von Betriebsunterbrechung über Wiederherstellung, Forensik und Rechtskosten bis zu möglichen Lösegeldern.

Nach der Bitkom-Studie „Wirtschaftsschutz 2025" entstand der deutschen Wirtschaft binnen zwölf Monaten ein Rekordschaden von rund 289 Mrd €; 87 % der befragten Unternehmen waren betroffen. Das Einspielen eines Hotfixes kostet dagegen vor allem eines: die Entscheidung, es zu tun. Bei einer aus dem Internet erreichbaren Lücke mit CVSS 10.0 ist diese Entscheidung eigentlich schon getroffen.