Volexity identifiziert aktive Zero-Day-Exploit-Kampagne gegen SonicWall VPN-Appliances
TL;DR
Volexity identifiziert aktive Zero-Day-Exploit-Kampagne gegen SonicWall VPN-Appliances
Wenn Sie SonicWall SMA 1000-Appliances betreiben, sollten Sie Ihre Arbeit unterbrechen und Ihre Protokolle überprüfen. Sicherheitsforscher bei Volexity haben eine aktive, gefährliche Zero-Day-Kampagne aufgedeckt, die seit dem 22. Juni 2026 läuft. Die Täter? Eine Bedrohungsgruppe namens UTA0533. Sie beschränken sich nicht nur auf einfache Tests; sie haben herausgefunden, wie man zwei Zero-Day-Schwachstellen verkettet, um Root-Zugriff zu erlangen. Dies ermöglicht es ihnen, beliebige Befehle auszuführen und Anmeldedaten abzugreifen, noch bevor Sie bemerken, dass sie sich im System befinden.
Volexity wurde auf die Kampagne aufmerksam, nachdem sie kompromittierte Infrastrukturen untersucht und ihre Speicheranalysetools – insbesondere Volexity Volcano – eingesetzt hatten, um die digitalen Fingerabdrücke des Eindringlings zu finden. Laut der detaillierten Analyse von Volexity handelte es sich nicht um einen allgemeinen „Spray and Pray“-Angriff. Die Malware war maßgeschneidert und speziell dafür entwickelt, in der einzigartigen, abgeschotteten Umgebung von SonicWall SMA-Appliances zu gedeihen.
Die technische Analyse: Ein perfekter Sturm
Der Angriff ist ein klassischer Zwei-Schritte-Prozess, der ein sicheres Gateway in eine offene Tür verwandelt.
Der erste Schritt ist CVE-2026-15409. Es handelt sich um eine Server-Side Request Forgery (SSRF)-Schwachstelle mit einem CVSS-Score von 10,0. Durch den Zugriff auf den /wsproxy-Endpunkt kann ein nicht authentifizierter Angreifer die Sicherheitsüberprüfungen der Appliance vollständig umgehen. Sie gehen effektiv ohne Schlüssel durch die Vordertür.
Sobald diese erste Hürde genommen ist, nutzen sie die zweite Schwachstelle: CVE-2026-15410. Dies ist eine Code-Injection-Schwachstelle nach der Authentifizierung mit einem CVSS-Score von 7,2. Mit dem ersten Exploit als Hebel können sie beliebige Betriebssystembefehle mit vollen Root-Rechten ausführen. Wie Security Affairs feststellte, gehört die Appliance nach der Verkettung dieser beiden Schwachstellen praktisch den Angreifern.
| Schwachstellen-ID | Typ | CVSS-Score | Auswirkung |
|---|---|---|---|
| CVE-2026-15409 | SSRF | 10,0 | Authentifizierungsumgehung |
| CVE-2026-15410 | Code Injection | 7,2 | Ausführung beliebiger Befehle |
Operative Details und Gegenmaßnahmen
UTA0533 versteht ihr Handwerk. Sie haben ihre operative Sicherheit hochgehalten und verwenden maßgeschneiderte Malware, die darauf ausgelegt ist, gängige Erkennungsmethoden zu umgehen. Durch die Nutzung des /wsproxy-Endpunkts haben sie eine schmerzhafte Wahrheit aufgezeigt: Edge-Geräte sind die kritischsten, aber oft am meisten übersehenen Teile unseres Netzwerkperimeters.
SonicWall hat bereits Patches veröffentlicht, um diese Lücken zu schließen. Wenn Sie diese Appliances verwalten, sollte Ihr erster Schritt der Blick auf das offizielle PSIRT-Advisory sein. Aktualisieren Sie diese Systeme sofort auf die neueste Firmware.
Über das bloße „Update“ hinaus finden Sie hier Ihre Checkliste zur Sicherung des Perimeters:
- Patchen, dann erneut patchen: Stellen Sie sicher, dass sowohl CVE-2026-15409 als auch CVE-2026-15410 behoben sind.
- Protokolle prüfen: Durchsuchen Sie Ihre Systemprotokolle, insbesondere nach Auffälligkeiten, die vom
/wsproxy-Endpunkt ausgehen. - Nach Geistern suchen: Halten Sie Ausschau nach anomalen Prozessen oder unbekannten Binärdateien. Wenn etwas nicht auf die Appliance gehört, ist es wahrscheinlich das Werk von UTA0533.
- Verkehr überwachen: Achten Sie auf Netzwerkmuster, die auf einen „SSRF-Versuch“ hindeuten.
Wie von Security Affairs angemerkt, besteht die Gefahr darin, dass diese Schwachstellen kein Passwort oder gestohlene Anmeldedaten erfordern. Wenn Ihr Gerät exponiert ist, ist es verwundbar. Das Zeitfenster für diese Angreifer steht weit offen, bis Sie es schließen.
Sicherheitsteams müssen proaktiv handeln. Nutzen Sie die von den Forschern veröffentlichten Indicators of Compromise (IOCs), um Ihre Umgebung zu scannen. Wie SocDefenders zu Recht betont, ist das Patchen nur die halbe Miete. Sie müssen auch eine tiefgehende forensische Überprüfung Ihrer Protokolle durchführen, um sicherzustellen, dass die Angreifer keine Persistenz etabliert haben, bevor Sie den Fix angewendet haben.
Die Untersuchung zu UTA0533 dauert noch an. Wir beobachten, wie sich ihre Taktiken ändern, aber eines ist klar: Wenn Angreifer VPN-Appliances ins Visier nehmen, suchen sie nicht nach einem schnellen Erfolg – sie suchen nach einem Standbein in Ihrem gesamten Netzwerk. Halten Sie Ihre Firmware aktuell, beschränken Sie den administrativen Zugriff auf das absolute Minimum und bleiben Sie wachsam. In der Welt der Edge-Sicherheit ist Selbstgefälligkeit der teuerste Fehler, den Sie machen können.
