Angreifer begannen bereits zwei Tage nach der Veröffentlichung eines Sicherheitsupdates durch das Unternehmen, eine kritische SonicWall-Schwachstelle auszunutzen.
Die unter CVE-2026-102255 geführte Schwachstelle erreicht einen maximalen CVSS-Score von 10,0 und betrifft SonicWall Secure Mobile Access (SMA) 1000-Appliances. Sicherheitsforscher registrierten ab dem 8. Oktober Ausnutzungsversuche, nachdem SonicWall die Schwachstelle am 6. Oktober öffentlich gemacht und einen Patch veröffentlicht hatte.
Die Aktivität gefährdet Organisationen, die diese Appliances für den Fernzugriff einsetzen, obwohl Forscher bislang keine erfolgreichen Kompromittierungen im Zusammenhang mit der Schwachstelle bestätigt haben.
Forscher registrieren 135 Ausnutzungsversuche
Die Threat-Intelligence-Unternehmen Previdian und Defused Cyber meldeten kurz nach der Veröffentlichung verdächtige Aktivitäten gegen CVE-2026-102255.
Laut BleepingComputer erklärte Previdian-Gründer Ryan Dewhurst, dass die Honeypots des Unternehmens speziell präparierte HTTP-Anfragen gegen die WorkPlace-Extraweb-Schnittstelle registriert hätten.
Mit den Anfragen wurde versucht, über die anfällige Appliance einen internen CouchDB-Dienst zu erreichen.
Defused Cyber beobachtete unabhängig davon ab dem 8. Oktober ähnliche Aktivitäten gegen seine SonicWall-SMA-Decoys.
Bis zum 12. Oktober hatte Previdian 135 Ausnutzungsversuche von zwei IP-Adressen aus den USA registriert, berichtete The Hacker News.
Die Forscher konnten nicht feststellen, ob durch diese Versuche tatsächlich Systeme kompromittiert wurden.
Der offizielle Hinweis von SonicWall besagt weiterhin, dass das Unternehmen keine Belege für eine Ausnutzung in freier Wildbahn habe. Allerdings hat das Canadian Centre for Cyber Security seine Warnung am 9. Oktober aktualisiert und öffentliche Berichte über Ausnutzungen aufgenommen.
So funktioniert die SonicWall-Schwachstelle
CVE-2026-102255 ist eine SSRF-Schwachstelle (Server-Side Request Forgery) auf dem Server, die keine vorherige Authentifizierung erfordert und sich in der WorkPlace-Schnittstelle der SMA1000-Appliance befindet.
Laut dem offiziellen CVE-Eintrag geht die Schwachstelle auf einen unbeabsichtigten alternativen Zugriffspfad zurück, über den ein nicht authentifizierter Angreifer aus der Ferne die Appliance dazu bringen könnte, Anfragen an interne Dienste zu senden und nicht autorisierte Aktionen auszuführen.
SSRF-Schwachstellen können es Angreifern ermöglichen, den Netzwerkzugriff eines vertrauenswürdigen Systems zu missbrauchen, um Ressourcen zu erreichen, die andernfalls von außen nicht zugänglich wären.
Sicherheitsforscher haben gewarnt, dass eine erfolgreiche Ausnutzung potenziell zur Kompromittierung der Appliance führen könnte. Die öffentlich dokumentierten Versuche belegen jedoch weder die Ausführung von Code aus der Ferne noch einen dauerhaften Zugriff über diese spezielle Schwachstelle.
Welche SonicWall-Appliances sind betroffen?
Die Schwachstelle betrifft physische und virtuelle Bereitstellungen der SonicWall-SMA1000-Modelle 6210, 7210 und 8200v.
SonicWall nannte die folgenden betroffenen und gepatchten Firmwareversionen:
Betroffene Firmware | Fehlerbereinigte Firmware |
| 12.4.3-03526 und früher | 12.4.3-03670 und später |
| 12.5.0-02952 und früher | 12.5.0-03082 und später |
Die Schwachstelle betrifft weder die SMA-100-Serie noch die auf SonicWall-Firewalls ausgeführte SSL-VPN-Funktionalität.
SonicWall veröffentlichte die Hotfixes am 6. Oktober zusammen mit Korrekturen für drei weitere Schwachstellen, die die Ausführung von Code aus der Ferne, Path Traversal und gespeichertes Cross-Site-Scripting betrafen.
Organisationen sollen anfällige Appliances patchen
SonicWall empfiehlt Organisationen, die betroffene SMA1000-Appliances betreiben, umgehend auf die fehlerbereinigten Firmwareversionen zu aktualisieren.
Sicherheitsteams sollten außerdem die Appliance- und Netzwerkprotokolle auf ungewöhnliche Anfragen gegen die WorkPlace-Schnittstelle überprüfen, insbesondere auf Versuche, interne Dienste zu erreichen.
Die Aktivitäten folgen auf frühere Angriffe gegen andere SMA1000-Schwachstellen, die unter anderem ausgenutzt wurden, um Schadsoftware einzuschleusen und dauerhaften Zugriff auf Unternehmensnetzwerke zu erlangen. Es gibt jedoch keine öffentlich bekannten Belege dafür, dass diese Kampagnen mit CVE-2026-102255 in Verbindung stehen.
Die schnellen Ausnutzungsversuche unterstreichen zudem, wie wichtig es ist, sich auf Angriffe vorzubereiten, die präventive Sicherheitskontrollen umgehen.
Rick Howard, eine Führungskraft im Bereich Cybersicherheit und ehemaliger chief security officer bei Palo Alto Networks, betonte in gegenüber eSecurity Planet veröffentlichten Aussagen die Bedeutung von Resilienz.
„Die einzige Strategie, die für die meisten Organisationen sinnvoll ist, besteht in Resilienz. Ich muss den Angriff nur überstehen, nicht verhindern“, sagte Howard.
Die jüngsten Aktivitäten zeigen, wie schnell Angreifer neu veröffentlichte Schwachstellen ins Visier nehmen können und wie wenig Zeit Organisationen dadurch bleibt, um exponierte Systeme abzusichern.
Weitere Nachrichten: Cisco hat sieben Sicherheitslücken offengelegt die sechs Meraki-Produktfamilien betreffen, darunter kritische Schwachstellen.