SonicWall SMA1000: BSI warnt vor aktiv ausgenutzten Zero-Days

Wer im Unternehmen eine SonicWall-SMA1000-Appliance für den Fernzugriff von Homeoffice- oder Außendienst-Mitarbeitenden betreibt, sollte diesen Beitrag nicht auf morgen verschieben. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 2. September 2026 eine Cybersicherheitswarnung mit der Kritikalitätsstufe 3 (Orange) veröffentlicht – die zweithöchste Eskalationsstufe, bei der laut BSI „Maßnahmen unverzüglich ergriffen werden müssen" und eine „massive Beeinträchtigung des Regelbetriebs möglich" ist. Grund sind zwei neue Schwachstellen, die SonicWall selbst als bereits aktiv ausgenutzt bestätigt hat.

Was die BSI-Warnung vom 2. September 2026 auslöste

Laut der BSI-Cybersicherheitswarnung (öffnet in neuem Tab) veröffentlichte SonicWall am Abend des 1. September 2026 ein Advisory zu zwei Schwachstellen in seiner SMA1000-Produktserie. Betroffen sind die Modelle 6210, 7210 und 8200v – Appliances, die Unternehmen einsetzen, um Mitarbeitenden einen sicheren Fernzugriff auf interne Anwendungen zu ermöglichen. Das BSI schreibt dazu unmissverständlich: „SonicWall SMA1000-Kunden müssen davon ausgehen, dass auch auf ihre IT-Systeme bereits Angriffe stattgefunden haben, sofern dies nicht durch die eine umfassende Analyse ausgeschlossen werden kann."

Die Produktmitteilung von SonicWall selbst (öffnet in neuem Tab) bestätigt das direkt in der Überschrift: „These vulnerabilities have been confirmed as being actively exploited in the wild." Wie viele Organisationen betroffen sind oder wer hinter den Angriffen steckt, hat der Hersteller nach Stand der hier verwendeten Quellen nicht veröffentlicht.

Zwei Lücken, die sich gegenseitig verstärken

Technisch handelt es sich um zwei getrennte, aber zusammenwirkende Schwachstellen:

CVE-2026-83548 betrifft laut BSI das Web-Interface „Work Place" der SMA1000-Appliance und ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Sie erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, „unautorisierten Zugriff auf verschiedene Funktionen zu erhalten sowie unbefugt Aktionen auszuführen". Der CVSS-Wert liegt laut BSI und SonicWall bei 10,0 von 10 – der Höchstwert der Skala.

CVE-2026-83549 ist laut BSI eine Schwachstelle in der Appliance Management Console (AMC), die nach erfolgter Authentisierung die Ausführung von Code mit Administrator-Rechten ermöglicht. Für sich genommen bewertet SonicWall diese Lücke mit 7,8 von 10 als „hoch", nicht kritisch.

Entscheidend ist die Kombination: Das BSI weist ausdrücklich darauf hin, dass die für CVE-2026-83549 nötige Authentisierung „auch über CVE-2026-83548 erreicht werden kann" – und warnt explizit davor, das Patchmanagement „ausschließlich an der Bewertung nach CVSS auszurichten". Die zweite, auf den ersten Blick weniger kritische Lücke wird durch die erste faktisch zu einer Kette bis zur nicht authentifizierten Codeausführung. Rapid7 bestätigt (öffnet in neuem Tab) diese Einschätzung: Die beiden Schwachstellen könnten verkettet werden, um „unauthenticated remote code execution (RCE) on affected appliances" zu erreichen. Beide CVEs wurden laut Rapid7 in den Known Exploited Vulnerabilities-Katalog der US-Behörde CISA aufgenommen.

Welche Systeme betroffen sind

Betroffen sind nach Angaben von SonicWall und BSI die SMA1000-Modelle 6210, 7210 und 8200v (physisch wie virtuell) mit den Firmware-Versionen 12.4.3-03453 (platform-hotfix) und älter sowie 12.5.0-02835 (platform-hotfix) und älter. Nicht betroffen sind laut BSI die SSL-VPN-Funktion auf regulären SonicWall-Firewalls sowie die separate SMA100-Produktserie – die Verwechslungsgefahr zwischen SMA1000 und SMA100 ist real, die Modellnummer entscheidet.

Behoben sind die Lücken in den Versionen 12.4.3-03526 (platform-hotfix) und 12.5.0-02952 (platform-hotfix) und neuer.

Kein Einzelfall: Die zweite SMA1000-Warnung binnen zwei Monaten

Wer sich fragt, ob es sich um einen isolierten Vorfall handelt: Die Produktserie steht bereits seit Juli 2026 im Fokus von Angreifern. Am 14. Juli 2026 veröffentlichte SonicWall bereits ein Advisory zu zwei anderen Zero-Day-Schwachstellen in derselben SMA1000-Serie, CVE-2026-15409 und CVE-2026-15410 – auch damals bestätigte der Hersteller laut BSI-Warnung vom 22. Juli 2026 (öffnet in neuem Tab) „zahlreiche Fälle", die auf eine Ausnutzung schließen lassen. Zwei öffentliche BSI-Warnungen mit aktiver Ausnutzung für dieselbe Appliance-Serie innerhalb von sieben Wochen sind ein klares Signal: SMA1000-Appliances sind derzeit ein bevorzugtes Angriffsziel, unabhängig davon, ob die jeweils aktuelle Lücke bereits geschlossen wurde. Wer im Juli gepatcht hat, ist gegen die neue September-Lücke nicht automatisch geschützt – es handelt sich um unterschiedliche CVE-Nummern.

Was jetzt konkret zu tun ist

Version prüfen. Läuft eine SMA1000-Appliance (Modell 6210, 7210 oder 8200v) auf Firmware 12.4.3-03453 oder 12.5.0-02835 beziehungsweise älter? Dann besteht unmittelbarer Handlungsbedarf.
Hotfix einspielen. SonicWall stellt die Updates 12.4.3-03526 und 12.5.0-02952 über das Kundenportal mysonicwall.com zum Download bereit.
Nicht allein auf das Patchen verlassen. Da die Ausnutzung laut Rapid7 bereits vor der öffentlichen Bekanntgabe erfolgte, reicht ein aktueller Patch allein nicht aus, um eine bestehende Kompromittierung auszuschließen. SonicWall empfiehlt, technischen Support zu kontaktieren und die Appliance auf Indicators of Compromise prüfen zu lassen.
Bei Anzeichen einer Kompromittierung rät SonicWall zu einem vollständigen Re-Image (bei Hardware) oder Re-Deploy (bei virtuellen Appliances), dem Austausch aller Nutzer- und Administrator-Passwörter sowie dem Zurücksetzen aller TOTP-Tokens.
Zugriff auf Managementkonsolen einschränken. Das BSI verweist auf den IT-Grundschutzbaustein NET.3.2 und empfiehlt generell, den Zugriff auf Administrations- und Managementzugänge von Perimetersystemen möglichst restriktiv zu handhaben.

Wie Sie mit solchen Warnungen künftig schneller Schritt halten

Der zeitliche Abstand zwischen Herstellerveröffentlichung und interner Reaktion entscheidet in Fällen wie diesem über den Schaden. Ein paar Punkte, die sich in der Praxis bewährt haben, unabhängig vom konkreten Hersteller:

Security-Advisories der eigenen Perimeter-Hersteller abonnieren, nicht nur allgemeine IT-News verfolgen. SonicWall, Check Point, Fortinet und Citrix veröffentlichen ihre Advisories direkt im Kundenportal – oft Stunden vor der breiteren Presse-Berichterstattung.
Die BSI-Warnstufen kennen und danach priorisieren. Kritikalität 3 (Orange) heißt laut BSI-Skala „Maßnahmen müssen unverzüglich ergriffen werden" – das ist eine andere Reaktionszeit als bei Stufe 1 (Grau), wo „Maßnahmen in absehbarer Zeit erwogen werden sollten".
Eine feste Verantwortlichkeit für Perimeter-Systeme benennen. Wenn niemand explizit für das Monitoring von Firewall- und VPN-Advisories zuständig ist, verzögert sich die Reaktion fast automatisch, weil die Meldung zwischen Zuständigkeiten verloren geht.
Den Unterschied zwischen Patchen und Kompromittierungsprüfung nicht verwischen. Wie dieser Fall zeigt, kann Ausnutzung bereits vor der öffentlichen Bekanntgabe stattgefunden haben – ein eingespielter Patch schließt die Lücke, beantwortet aber nicht die Frage, ob vorher schon jemand hindurchgekommen ist.

Warum das über SonicWall hinausgeht

Der Fall reiht sich in ein Muster ein, das sich seit 2024 bei praktisch allen großen Anbietern von Fernzugriffs- und Firewall-Appliances zeigt – Ivanti, Fortinet, Citrix, Check Point und jetzt wiederholt SonicWall. Das BSI begründet das in seiner Bewertung nachvollziehbar: „Perimetersysteme stellen seit jeher beliebte Ziele für Angreifer dar, da sie Akteuren im Falle einer Kompromittierung zahlreiche Optionen für weiterführende Angriffe (u. a. Lateral Movement) bieten." Genau die Systeme, die Fernzugriff überhaupt erst möglich machen, sind aus dem Internet erreichbar und damit die erste Angriffsfläche, auf die ein Unternehmen von außen trifft.

Für IT-Verantwortliche im Mittelstand bedeutet das praktisch: Wer Perimeter-Appliances – gleich welchen Herstellers – im Einsatz hat, sollte Patchmanagement für diese Systeme nicht im gleichen Rhythmus behandeln wie für interne Server. Herstellerwarnungen zu aktiv ausgenutzten Schwachstellen in Firewalls und VPN-Gateways verdienen eine sofortige Prüfung, unabhängig vom regulären Update-Zyklus – und, wie das BSI in diesem Fall betont, unabhängig davon, ob der CVSS-Wert einer Einzellücke moderat wirkt, solange eine Verkettung mit einer zweiten Lücke möglich ist.

Fazit

Die BSI-Warnung vom 2. September 2026 ist kein Routinehinweis: Kritikalität Orange, bestätigte aktive Ausnutzung und eine Schwachstellenkombination, die eine nicht authentifizierte Codeausführung erlaubt, sind eine seltene Kombination. Wer SonicWall SMA1000 betreibt, sollte den Patchstatus noch heute prüfen und im Zweifel den Hersteller-Support zur forensischen Analyse kontaktieren – die zweite aktiv ausgenutzte SMA1000-Lücke binnen zwei Monaten zeigt, dass es sich nicht um einen einmaligen Ausrutscher handelt.

Falls Sie unsicher sind, ob Ihre Perimeter-Systeme – SonicWall oder andere Hersteller – aktuell abgesichert sind, oder ob Ihr Patchmanagement-Prozess solche Warnungen zuverlässig und schnell genug erreicht: Sprechen Sie mit uns. Wir schauen uns Ihre bestehende Infrastruktur an und helfen, Prozesse aufzusetzen, die Herstellerwarnungen nicht erst Wochen später auf dem Schreibtisch landen lassen.