Angreifer haben zwei bislang unbekannte Sicherheitslücken in VPN-Systemen von SonicWall ausgenutzt, bevor der Hersteller Updates bereitstellte. Durch die Kombination der Schwachstellen konnten sie die betroffenen Geräte vollständig übernehmen und Befehle mit Root-Rechten ausführen.
Betroffen sind Geräte der Reihe SonicWall Secure Mobile Access 1000. Diese Systeme stehen häufig direkt am Rand eines Unternehmensnetzes und vermitteln den Fernzugriff auf interne Dienste. Eine erfolgreiche Übernahme ist daher besonders kritisch: Der Angreifer sitzt nicht nur auf einem einzelnen Server, sondern auf dem zentralen Zugangspunkt zum internen Netzwerk.
Zwei Schwachstellen bilden eine vollständige Angriffskette
Bei den Sicherheitslücken handelt es sich um CVE-2026-15409 und CVE-2026-15410. SonicWall veröffentlichte die Sicherheitsmeldung am 14. Juli 2026 und bestätigte, dass beide Schwachstellen bereits aktiv ausgenutzt werden.
CVE-2026-15409 erreicht mit einem CVSS-Wert von 10,0 die höchste Kritikalitätsstufe. Die Schwachstelle erlaubt einem nicht angemeldeten Angreifer, über die Funktion /wsproxy einen WebSocket-Tunnel zu Diensten aufzubauen, die eigentlich nur lokal auf dem Gerät erreichbar sein sollten.
Dadurch lassen sich interne Komponenten des VPN-Systems direkt aus dem Internet ansprechen. Dazu gehören unter anderem ein Erlang-Dienst auf Port 1050 und der SonicWall-Kontrolldienst auf Port 8188.
Die zweite Schwachstelle, CVE-2026-15410, steckt in einer Funktion zum Entfernen von Hotfixes. Durch manipulierte Dateipfade kann ein Angreifer ein vorbereitetes Skript mit Root-Rechten ausführen. Aus einem zunächst eingeschränkten Zugriff wird damit die vollständige Kontrolle über das Betriebssystem der Appliance.
Angriffe liefen bereits seit mindestens Juni
Das Sicherheitsunternehmen Volexity untersuchte Anfang Juli einen Angriff auf zwei SonicWall-SMA-Geräte. Die frühesten gefundenen Spuren stammen vom 22. Juni 2026 – mehrere Wochen vor der öffentlichen Bekanntgabe der Schwachstellen.
Volexity führt den bislang nicht näher identifizierten Angreifer unter der Bezeichnung UTA0533. Nach Angaben der Forscher nutzte die Gruppe mehrere Zero-Day-Lücken und speziell für SonicWall-Appliances entwickelte Schadsoftware.
Auf einem der untersuchten Systeme installierten die Angreifer unter anderem ein Programm namens ROOTRUN. Die Datei wurde als Setuid-Binary unter /usr/bin/xzfind abgelegt und erlaubte es einem Benutzer ohne besondere Rechte, beliebige Befehle als Root auszuführen.
Zusätzlich wurde eine Python-Datei namens KNUCKLEBALL installiert. Diese enthielt zwei Java-Komponenten, die in einen regulären SonicWall-Prozess eingeschleust wurden. Dazu gehörten der offene HTTP-Proxy Suo5 und eine von Volexity ORANGETAIL genannte Webshell.
Schadsoftware wurde tief im System verankert
Die Webshells waren über unauffällig wirkende Pfade innerhalb der SonicWall-Oberfläche erreichbar. Gleichzeitig veränderten die Angreifer die Startskripte des Systems und die Konfiguration des verwendeten NGINX-Unit-Servers.
Damit konnten die Schadprogramme nach einem Neustart erneut geladen und über das Internet angesprochen werden. Die Manipulation einer legitimen Systemkonfiguration erschwert zudem die Erkennung durch klassische Sicherheitssoftware.
Auf einem zweiten Gerät legten die Angreifer mehrere Dateien im temporären Verzeichnis ab. Ein Skript startete das Netzwerkwerkzeug tcpdump, um unverschlüsselten LDAP-Verkehr mitzuschneiden. Auf diese Weise konnten Benutzernamen und Passwörter aus dem Datenverkehr extrahiert werden.
VPN-Appliance wird zum Zugang ins Unternehmensnetz
Rapid7 beobachtete bei eigenen Untersuchungen ebenfalls gezielte Angriffe auf öffentlich erreichbare SMA-1000-Systeme. Nach der Übernahme extrahierten die Angreifer Zugangsdaten, aktive Sitzungsdatenbanken und Konfigurationen für zeitbasierte Einmalpasswörter.
Besonders kritisch ist der mögliche Zugriff auf die geheimen Ausgangswerte von TOTP-Verfahren. Gelangen diese sogenannten Seeds in die Hände eines Angreifers, kann er selbst gültige Einmalcodes erzeugen. Das Zurücksetzen eines Benutzerpassworts reicht dann nicht mehr aus.
Rapid7 beobachtete außerdem Anmeldungen an internen Active-Directory-Systemen, die direkt von der kompromittierten VPN-Appliance ausgingen. Dabei wurden ungewöhnliche Rechnernamen verwendet und keine reguläre VPN-Sitzung aufgebaut. Das Gerät diente damit als versteckte Hintertür in das Unternehmensnetz.
Ein reguläres Update reicht nicht immer
SonicWall stellt die bereinigten Versionen 12.4.3-03453 und 12.5.0-02835 bereit. Betroffen sind die Modelle SMA 6210, SMA 7210, SMA 8200v sowie die zugehörigen CMS-Installationen mit mehreren älteren Hotfix-Ständen.
Unternehmen sollten die Geräte unverzüglich aktualisieren. Da die Schwachstellen bereits vor ihrer Veröffentlichung ausgenutzt wurden, beseitigt ein Update jedoch keine bereits installierten Hintertüren.
SonicWall empfiehlt deshalb ausdrücklich eine forensische Untersuchung auf Hinweise einer Kompromittierung. Werden verdächtige Spuren gefunden, sollen physische Geräte vollständig neu installiert und virtuelle Appliances neu bereitgestellt werden.
Anschließend müssen Benutzer- und Administratorpasswörter geändert sowie sämtliche TOTP-Token zurückgesetzt werden. Auch Konfigurationssicherungen sollten nur verwendet werden, wenn sie nachweislich aus der Zeit vor einer möglichen Kompromittierung stammen.
Diese Hinweise sollten Administratoren prüfen
Zu den von SonicWall veröffentlichten Erkennungsmerkmalen gehören verdächtige Zugriffe auf /wsproxy mit dem HTTP-Status 101. Auffällig sind insbesondere Anfragen mit Host-Zielen wie localhost oder 127.0.0.1.
Auch Einträge über das Entfernen eines Hotfixes mit ungewöhnlichen Pfadangaben können auf die Ausnutzung von CVE-2026-15410 hindeuten. Die Datei /var/lib/unit/conf.json sollte zudem auf unbekannte Routen und nicht autorisierte Änderungen untersucht werden.
Die Angriffe zeigen erneut das besondere Risiko von VPN- und Sicherheits-Appliances. Solche Systeme besitzen weitreichenden Zugriff auf interne Netze, werden aber häufig wie geschlossene Geräte behandelt und weniger intensiv überwacht als normale Server.
Ist eine solche Appliance vollständig kompromittiert, kann sie Zugangsdaten mitschneiden, Mehrfaktor-Authentifizierung umgehen und internen Netzwerkverkehr unauffällig weiterleiten. In diesem Fall wird ausgerechnet das System, das den Fernzugriff schützen soll, zum dauerhaften Zugang für den Angreifer.
