Aktive Ausnutzung von SonicWall SMA Zero-Day-Schwachstellen ermöglicht nicht authentifizierten Root-Zugriff auf Unternehmensinfrastruktur
TL;DR
Aktive Ausnutzung von SonicWall SMA Zero-Day-Schwachstellen ermöglicht nicht authentifizierten Root-Zugriff auf Unternehmensinfrastruktur
Wenn Sie SonicWall SMA 1000-Appliances betreiben, unterbrechen Sie Ihre Arbeit und überprüfen Sie Ihre Protokolle. Cybersicherheitsbehörden und Forscher haben bestätigt, dass zwei gefährliche Zero-Day-Schwachstellen – CVE-2026-15409 und CVE-2026-15410 – aktiv ausgenutzt werden. Hierbei handelt es sich nicht um theoretische Risiken; Angreifer nutzen diese aktiv aus, um die Authentifizierung zu umgehen, Berechtigungen zu eskalieren und die vollständige Root-Kontrolle über Unternehmensnetzwerke zu erlangen.
Die Spuren führen zu bekannten Akteuren, darunter die Inc-Ransomware-Gruppe und eine zwielichtige Gruppierung namens UTA0533. Seit den ersten Anzeichen am 22. Juni 2026 sind diese Gruppen damit beschäftigt, maßgeschneiderte Malware bereitzustellen, Anmeldedaten zu entwenden und sich lateral durch Unternehmensumgebungen zu bewegen.
Die Anatomie des Angriffs
Das Kartenhaus beginnt mit CVE-2026-15409, einer Server-Side Request Forgery (SSRF)-Schwachstelle, die einen perfekten CVSS-Wert von 10,0 erhielt. Es ist ein klassisches Szenario einer „weit offen stehenden Vordertür“. Durch die Nutzung von Websocket-basiertem Tunneling kann ein nicht authentifizierter Angreifer direkt mit Diensten auf dem Localhost der Appliance kommunizieren. Im Wesentlichen umgehen sie die Sicherheitsüberprüfungen, die interne Verwaltungsschnittstellen vor neugierigen Blicken aus dem öffentlichen Internet schützen sollen.
Sobald sie ein Loch in den Perimeter geschlagen haben, wechseln sie zu CVE-2026-15410. Dies ist ein schwerwiegender Fehler bei der Berechtigungseskalation, der im remove_hotfix-Workflow verborgen ist. Es handelt sich um einen Path-Traversal-Trick, der es einem Angreifer ermöglicht, in wenigen Schritten vom „fremden Internetnutzer“ zum „Root-Administrator“ zu werden. Wenn man diese beiden Schwachstellen kombiniert, hat man im Grunde die Schlüssel zur gesamten Infrastruktur übergeben.
Wer steckt dahinter und warum?
Das Rapid7 MDR-Team hat hier die Hauptarbeit geleistet und dokumentiert, wie diese Akteure nicht nur eindringen, sondern sich dauerhaft festsetzen. Sie haben gefährliche Payloads entdeckt, darunter 'ROOTRUN', eine setuid-Binärdatei, die sicherstellt, dass der Root-Zugriff auch nach einem Neustart der Appliance erhalten bleibt, sowie 'KNUCKLEBALL', ein Python-Skript zum Einschleusen bösartiger Java Archive (JAR)-Dateien in das System.
Das Toolkit umfasst zudem:
- Suo5: Ein HTTP-Proxy-Tool, das die Kommunikation unauffällig und verdeckt hält.
- ORANGETAIL: Eine Web-Shell, die eine komfortable Schnittstelle für die Remote-Befehlsausführung und den Datendiebstahl bietet.
- Credential Harvesters: Diese sind besonders gefährlich, da sie gezielt Sitzungsdatenbanken und Multi-Faktor-Authentifizierungs-Seeds (MFA) angreifen.
Wenn die Inc-Ransomware-Gruppe MFA-Seeds in die Hände bekommt, ist Ihre sekundäre Authentifizierung effektiv neutralisiert. Sie nutzen diesen Zugriff, um Ihr Netzwerk zu kartieren, sensible Daten zu stehlen und sich auf den letzten Akt vorzubereiten: großflächige Verschlüsselung.
Schwachstellenübersicht
| CVE-Identifikator | Typ | Schweregrad | Auswirkung |
|---|---|---|---|
| CVE-2026-15409 | SSRF | Kritisch (10,0) | Nicht authentifiziertes Tunneling zum Localhost |
| CVE-2026-15410 | Berechtigungseskalation | Hoch (7,2) | Root-Level Codeausführung |
So sichern Sie Ihr Netzwerk ab
Die CISA hat beide Schwachstellen am 14. Juli 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Wenn Sie noch nicht gepatcht haben, sind Sie offiziell im Rückstand.
SonicWall hat Hotfixes veröffentlicht, die Sie umgehend installieren müssen. Besuchen Sie das offizielle SonicWall PSIRT-Advisory, um die Patches für Ihre SMA 1000-Appliances (insbesondere die Modelle 6210, 7210 und 8200v) herunterzuladen.
Ihre sofortige To-Do-Liste:
- Inventur: Bestätigen Sie genau, welche SMA 1000-Einheiten sich in Ihrem Netzwerk befinden.
- Patch: Wenden Sie die Hotfixes des Herstellers unverzüglich an.
- Audit: Durchsuchen Sie Ihre Systemprotokolle. Achten Sie auf verdächtige Aktivitäten – Versuche von Websocket-Tunneling oder das Vorhandensein von Binärdateien wie 'ROOTRUN' sind wichtige Warnsignale.
- Zurücksetzen: Wenn Sie vermuten, dass Sie kompromittiert wurden, gehen Sie vom Schlimmsten aus. Ändern Sie alle Anmeldedaten auf dem Gerät, einschließlich der administrativen Passwörter und der kritischen MFA-Seeds.
Die von Volexity dokumentierten Proxy-Methoden sind eine deutliche Erinnerung daran, dass Edge-Geräte die gefährlichsten Schwachstellen in jedem modernen Netzwerk darstellen. Die Kombination von SSRF mit Path Traversal ist ein chirurgischer Schlag, eine Taktik, die wir immer häufiger beobachten.
Die Situation entwickelt sich weiter, während Forscher neue Payloads und die sich wandelnden Taktiken der Inc-Gruppe verfolgen. Warten Sie nicht auf eine Lösegeldforderung, um Ihren Perimeter zu härten. Aktualisieren Sie die Appliances, überwachen Sie Ihren Datenverkehr und gehen Sie davon aus, dass jemand bereits nach einem Weg hinein sucht, falls Sie exponiert sind.
