SonicWall hat am 6. Oktober 2026 Hotfixes für eine kritische Lücke in den SMA-1000-Geräten veröffentlicht. Zwei Tage später sahen Sicherheitsfirmen die ersten Angriffe. Previdian zählt bisher 135 Versuche von zwei IP-Adressen in den USA. Wer die Geräte betreibt, sollte die Version prüfen und den Hotfix einspielen.
Angreifer haben in SonicWall SMA 1000 schon 135 Angriffsversuche auf eine Lücke mit CVSS 10,0 gestartet. Der Hersteller hat die Hotfixes am 6. Oktober 2026 veröffentlicht. Wer sie noch nicht eingespielt hat, sollte jetzt handeln.
Das Wichtigste in Kürze
- Kritische Lücke mit Höchstwertung: CVE-2026-102255 erreicht CVSS 10,0 und betrifft die Geräte SonicWall SMA 1000.
- Angriffe laufen seit dem 8. Oktober 2026: Previdian zählt 135 Versuche von zwei IP-Adressen in den USA.
- Patches stehen bereit: Die Hotfixes tragen die Nummern 12.4.3-03670 und 12.5.0-03082.
- Der Hersteller hat seinen Hinweis noch nicht angepasst: Das Advisory nennt die aktive Ausnutzung bisher nicht.
Sicherheitslücke in SonicWall SMA 1000: Das ist bekannt
Bei CVE-2026-102255 handelt es sich um eine Server-Side Request Forgery (SSRF). Der Angreifer braucht dafür keine Anmeldung. Er bringt das Gerät dazu, Anfragen in seinem Namen zu stellen. Damit erreicht er interne Funktionen und kann unerlaubte Aktionen auslösen.
SonicWall hat die Patches am 6. Oktober 2026 veröffentlicht. Die Sicherheitsfirmen Defused Cyber und Previdian sahen am 8. Oktober 2026 die ersten Angriffsversuche. Die Meldung von The Hacker News stammt aus dem Oktober 2026. Ein genaues Datum für Erstveröffentlichung und letzte Aktualisierung nennt die Quelle nicht.
Die Zahlen im Überblick:
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| CVSS-Wert | 10,0 | Höchste Stufe, Angriff aus der Ferne ohne Anmeldung |
| Patch-Datum | 6. Oktober 2026 | Der Hersteller liefert zwei Platform-Hotfixes |
| Erste Angriffe | 8. Oktober 2026 | Nur zwei Tage nach dem Patch |
| Angriffsversuche | 135 | Laut Previdian von zwei IP-Adressen in den USA |
| Fixversionen | 12.4.3-03670 und 12.5.0-03082 | Diese Stände schliessen die Lücke |
Der Hersteller hat sein Advisory laut Quelle noch nicht um die aktive Ausnutzung ergänzt. Wer nur dort nachliest, sieht die Gefahr also nicht in voller Grösse.
Was im Juni 2026 geschah
Die Lücke ist nicht der erste Fall bei diesem Produkt. Im Juni 2026 nutzte die Gruppe UTA0533 zwei andere Fehler als Zero-Days aus. Es ging um CVE-2026-15409 (CVSS 10,0) und CVE-2026-15410 (CVSS 7,2). Dabei kamen Java-Web-Shells und die Schadsoftware KNUCKLEBALL zum Einsatz.
Rapid7 beschreibt, wie die Täter vorgingen. Die Geräte hängen am Internet und dienen als verdeckter Einstieg. Von dort liefen Befehle auf dem Betriebssystem, und die Angreifer sicherten sich dauerhaften Zugang. Nach dem Einstieg entnahmen sie laut Rapid7 mehrere Dinge:
- Zugangsdaten mit hohem Wert
- Datenbanken mit aktiven Sitzungen
- Seed-Konfigurationen für zeitbasierte Einmalcodes (TOTP) der Mehrfaktor-Anmeldung
Deshalb zogen die Täter rasch weiter. Sie sprangen vom befallenen Gerät direkt ins interne Firmennetz.
Was Du jetzt prüfen solltest
Die Quellen nennen als Schutz den Patch. Weitere Gegenmittel führen sie nicht auf. So gehst Du vor:
- Lies die Version Deiner SMA-1000-Geräte aus.
- Vergleiche sie mit den Ständen 12.4.3-03670 und 12.5.0-03082.
- Spiele den passenden Hotfix ein, falls Dein Stand älter ist.
Zudem lohnt ein Blick auf die Erfahrungen vom Juni. Dort hatten die Täter Sitzungsdaten und TOTP-Seeds entwendet. Ob das auch bei der neuen Lücke passiert, belegen die Quellen nicht. Es bleibt eine Überlegung, kein bestätigter Befund.
Einordnung: Was das für Admins in der Schweiz heisst
Wer SMA-1000-Geräte betreibt, muss die Hotfixes einspielen. Die Angriffe laufen seit dem 8. Oktober 2026, und das Zeitfenster ist knapp. Das Advisory spiegelt die Lage noch nicht, daher solltest Du nicht auf einen Hinweis des Herstellers warten. Ein Patch kostet laut den Quellen nur Wartungszeit. Ein erfolgreicher Einbruch führt dagegen schnell ins interne Netz, wie der Fall vom Juni zeigt. Zu Kosten in Franken oder Schweizer Fällen liefern die Quellen keine Angaben.
Fazit
Du weisst jetzt, welche Versionen die Lücke schliessen und seit wann sie angegriffen wird. Prüfe als Nächstes den Stand Deiner Geräte und installiere den Hotfix. Beobachte danach das Advisory des Herstellers, bis es die Ausnutzung nennt.
Quellen: Bing News: SonicWall. Foto: kumar111aakashin / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.