SSRF und Code Injection SonicWall warnt vor Zero-Day-Angriffen auf SMA1000-Serie

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Angreifer nutzen zwei Schwachstellen in Sonicwall SMA1000 aktiv aus, darunter eine kritische SSRF-Sicherheitslücke. Betreiber sollten sofort patchen und ihre Systeme auf Anzeichen einer Kompromittierung untersuchen.

Sonicwall hat Hotfixes für zwei Schwachstellen, eine Server-side request forgery und eine Code Injection veröffentlicht, die in freier Wildbahn ausgenutzt werden. Das Analystenteam des Herstellers habe sogar mehrere Fälle untersucht, die auf eine aktive Ausnutzung der Zero-Day-Sicherheitslücken hindeuten würden.

Bei diesen handelt es sich um EUVD-2026-44404 / CVE-2026-15409 (CVSS-Score 10.0) und EUVD-2026-44410 / CVE-2026-15410 (CVSS-Score 7.2). Beide wurden von der CISA am 14. Juli 2026 in den KEV-Katalog aufgenommen, was die Ausnutzungsversuche bestätigt.

Microsoft Patchday Juli 2026

Zwei Zero-Days und eine Rekordzahl an Patches

Die Schwachstellen im Detail

EUVD-2026-44404 / CVE-2026-15409 ist eine kritische SSRF-Schwachstelle in der „Work Place“-Schnittstelle der SMA1000-Appliances. Sie ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, die Appliance zu veranlassen, Anfragen an unbeabsichtigte Ziele zu senden. Betroffen sind die Versionen 12.4.3-03245 bis einschließlich 12.4.3-03434 sowie 12.5.0-02283 bis einschließlich 12.5.0-02800 von SMA1000.

EUVD-2026-44410 / CVE-2026-15410 ist eine Schwachstelle, die Code Injection nach der Authentifizierung in der Verwaltungskonsole der SMA1000-Appliances ermöglicht. Die Sicherheitslücke könnte es einem authentifizierten Administrator mit Administratorrechten aus der Ferne erlauben, beliebige Betriebssystembefehle auszuführen. Auch davon sind die Versionen 12.5.0-02283 bis einschließlich 12.5.0-02800 der Appliances betroffen und 12.4.3-03245 bis einschließlich 12.4.3-03434.

Erlangung von Root-Rechten möglich

SSRF-Schwachstelle in Cisco Unified CM in Angriffen genutzt

Patches, IoCs und Empfehlungen

Sonicwall hat die Fehler in den Versionen 12.4.3-03453 und höher sowie 12.5.0-02835 und höher behoben. Ob beide Schwachstellen in den beobachteten Angriffen miteinander kombiniert wurden, ist nicht bekannt. Der Hersteller fordert seine Kunden auf, die Patches so schnell wie möglich zu installieren.

Im Security Advisory findet sich eine Liste mit Indicator of Compromise, auf die Kunden ihre Protokolldateien prüfen sollten:

• Sind in der Datei „extraweb_access.log“ Anfragen an „/__api__/login“ oder „/__api__/logout“ mit dem HTTP-Status 200 aufgeführt

• Sind in der Datei „extraweb_access.log“ Anfragen an „/wsproxy“ mit verdächtigen Host-Parametern und dem HTTP-Status 101 aufgeführt

• Sind in der Datei „ctrl-service.log“ Hotfix-Rollbacks mit Pfad-Traversal-Namen aufgeführt

• Enthält die Datei „/var/lib/unit/conf.json“ Routen für „/__api__/login“ oder „/__api__/logout“

Nutzer der SMA1000-Appliances sollten den Empfehlungen des Advisorys nach neben dem Patchen auch eine gründliche forensische Analyse des Systems durchführen, um festzustellen, ob Anzeichen einer Kompromittierung vorliegen. Falls IoCs auf dem System vorhanden sind, sollten sie die Hardware-Geräte neu aufsetzen und virtuelle Appliances neu bereitstellen. Zudem sollten sie die Benutzer- und Administratorenkennwörter ändern und die TOTP-Token zurücksetzen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

EUVD-2026-37039 / CVE-2026-46331

Riskante Schwachstelle im Linux-Kernel mit PoC und Exploits

(ID:50895584)