SonicWall SMA1000: Zero-Day CVE-2026-83548 aktiv ausgenutzt

SonicWall, das BSI und CERT-Austria warnen seit dem 1. September 2026 vor zwei Schwachstellen in der SMA1000-Produktserie, die bereits aktiv ausgenutzt werden. Die kritischere Lücke CVE-2026-83548 erreicht den maximalen CVSS-Wert von 10.0 und lässt sich ohne Anmeldung über das Netz missbrauchen. Betroffen sind Appliances für den verschlüsselten Fernzugriff (VPN) – also genau die Systeme, die Mitarbeiter von außen mit dem Firmennetz verbinden.

Was ist passiert?

SonicWall veröffentlichte am Abend des 1. September 2026 das Advisory SNWLID-2026-0016 zu zwei Sicherheitslücken in der SMA1000-Serie und bestätigt, dass beide bereits angegriffen werden.

• CVE-2026-83548 (CVSS 3.x Base Score 10.0, critical): eine Server-Side-Request-Forgery-Lücke (SSRF) vor der Authentifizierung in der Work-Place-Schnittstelle. Ein nicht angemeldeter Angreifer kann die Appliance dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare interne Endpunkte zu senden, und sich so unbefugten Zugriff auf sensible Funktionen verschaffen.
• CVE-2026-83549 (CVSS 3.x Base Score 7.8, high): eine OS-Command-Injection in der Appliance Management Console (AMC). Ein bereits authentifizierter Angreifer kann darüber remote Betriebssystembefehle als Administrator ausführen – bis hin zur vollständigen Codeausführung.

Workarounds gibt es laut Hersteller nicht. Das BSI stuft die Warnung als aktiv ausgenutzt ein.

Wer ist betroffen?

Betroffen ist die SonicWall Secure Mobile Access (SMA) 1000-Serie – eine VPN-/Fernzugriffslösung für mittlere bis große Organisationen und Behörden. Konkret genannt werden die Modelle 6210, 7210 und 8200v in diesen Versionen:

• 12.4.3-03453 (platform-hotfix) und älter
• 12.5.0-02835 (platform-hotfix) und älter

Laut SonicWall sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100 Series nicht von diesen Lücken betroffen. Wer eine SMA1000-Appliance im Einsatz hat, sollte sie jedoch als akut gefährdet behandeln, da funktionierende Angriffe bereits beobachtet werden.

Was jetzt zu tun ist

1. Prüfen, ob eine SonicWall SMA1000 (6210, 7210 oder 8200v) im Einsatz ist, und die installierte Firmware-Version feststellen.
2. Umgehend den bereitgestellten Platform-Hotfix einspielen: 12.4.3-03526 und höher bzw. 12.5.0-02952 und höher.
3. Solange nicht gepatcht werden kann, den Zugriff auf die Appliance so weit wie möglich einschränken (Zugang aus dem Internet begrenzen).
4. Die Systeme auf Kompromittierung prüfen: ungewöhnliche Administrator-Aktivität, neue Konten, verdächtige ausgehende Verbindungen und Logeinträge kontrollieren.
5. Nach dem Patchen Zugangsdaten und Sitzungen erneuern, falls ein Zugriff nicht ausgeschlossen werden kann.

So hilft Binary System Services

Wir prüfen für Sie, ob Ihre Fernzugriffs- und VPN-Systeme von CVE-2026-83548 betroffen sind, spielen die Hotfixes kontrolliert ein und begrenzen die Angriffsfläche exponierter Appliances. Über unser Monitoring erkennen wir verdächtige Zugriffe früh, und im Ernstfall unterstützen wir bei der Prüfung auf Kompromittierung und der Notfallhilfe. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.