SonicWall hat am Dienstag im Oktober 2026 eine Lücke mit Höchstwertung in den SMA1000-Geräten geschlossen. Drei Tage später melden Honeypot-Betreiber erste Angriffsversuche. Betroffen sind die Modelle 6210, 7210 und 8200v. Ob Angriffe Erfolg hatten, ist offen.
Eine Lücke mit Höchstwertung in SonicWall SMA1000 wird bereits angegriffen, obwohl der Patch erst drei Tage alt ist. Wer diese Fernzugangs-Geräte betreibt, sollte das Update jetzt einspielen.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-102255 hat die höchste Schweregrad-Stufe. Sie steckt in der Oberfläche Appliance WorkPlace der SMA1000-Geräte.
- Betroffen sind die Modelle 6210, 7210 und 8200v. Die SMA-100-Serie und SSL-VPN auf SonicWall-Firewalls sind laut Hersteller nicht betroffen.
- Honeypots zeichnen schon Angriffsversuche auf. Ob diese Versuche echte Systeme kompromittiert haben, ist unbekannt.
- Das Update ist verfügbar. Admins sollten es sofort einspielen und Zugriffe auf die Geräte prüfen.
Was über die Lücke bekannt ist
SonicWall hat den Fehler am Dienstag im Oktober 2026 in einem Sicherheitshinweis beschrieben und einen Patch geliefert. BleepingComputer hat am Freitag derselben Woche über erste Angriffe berichtet. Der Eintrag in der Schwachstellen-Datenbank NVD führt die Lücke unter CVE-2026-102255.
Ein Angreifer braucht kein Konto. Er kann das Gerät laut SonicWall dazu bringen, Anfragen in seinem Auftrag zu stellen. Damit erreicht er interne Funktionen und kann unerlaubte Aktionen auslösen. Fachleute nennen diese Art Fehler SSRF.
SonicWall hat die Lücke im Hinweis vom Dienstag noch nicht als aktiv ausgenutzt markiert. Das kann sich ändern. Die Quelle nennt keine weitere Aktualisierung des Herstellers.
Wie die Angriffsversuche aussehen
Ryan Dewhurst, Gründer von Previdian, meldete die Aktivität gegenüber BleepingComputer. Das Honeypot-Netz seiner Firma sah Anfragen an die Oberfläche WorkPlace Extraweb. Die Angreifer schickten eine präparierte OPTIONS-Anfrage. Sie zielte auf den internen Datenbankdienst CouchDB unter 127.0.0.1:5984.
Die Nutzlast versuchte, in ein CouchDB-Designdokument vorzudringen und dessen Funktion _rewrite aufzurufen. Dazu lieferte sie einen Basic-Authorization-Header mit den Zugangsdaten admin:admin mit.
Dabei betont Dewhurst eine Einschränkung. Previdian weiss nicht, ob solche Versuche ein System erfolgreich übernommen hätten. Die Firma Defused bestätigte die Beobachtung. Seit dem Vortag sehe man unauthentifizierten SSRF-Verkehr gegen die eigenen SonicWall-Köder.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Kennung | CVE-2026-102255 | Eindeutige Nummer für Patch-Abgleich und Suche in Logs |
| Betroffene Modelle | SMA1000 6210, 7210, 8200v | Andere SonicWall-Produkte laut Hersteller nicht betroffen |
| Patch-Datum | Dienstag im Oktober 2026 | Das Update liegt seit drei Tagen vor |
| Sichtbare Geräte | über 400 | Shadowserver zählt sie online, gepatchte und Köder sind nicht getrennt |
| Ziel der Angriffe | CouchDB auf 127.0.0.1:5984 | Interner Dienst, der von aussen nie erreichbar sein sollte |
Warum SMA1000 oft das Ziel ist
Die Geräte dienen als sicherer Fernzugang zu internen Anwendungen und Firmennetzen. Dienstleister, grosse Konzerne und Behörden setzen sie dafür ein. Wer ein solches Gerät übernimmt, steht am Rand des Firmennetzes.
Die Vorgeschichte ist belastend:
- Im Juli nutzten Angreifer zwei SMA1000-Zero-Days (CVE-2026-15409 und CVE-2026-15410) über Wochen aus. Sie installierten die Schadprogramme Sou5, OrangeTail und RootRun.
- Die US-Behörde CISA verband einen Teil dieser Angriffe später mit Ransomware-Banden.
- Im September warnte SonicWall vor zwei weiteren Zero-Days (CVE-2026-83548 und CVE-2026-83549), die Angreifer verketteten.
- Dieselbe WorkPlace-Oberfläche war schon im Juli und September von SSRF-Lücken betroffen. Die Oktober-Lücke nutzt laut Dewhurst eine andere Technik.
Zudem zählt Shadowserver mehr als 400 SMA1000-Geräte, die online erreichbar sind. Wie viele davon Köder sind oder schon den Patch haben, ist unklar. Die Behörde CISA führt einen Katalog aktiv ausgenutzter Lücken. Ein Eintrag zu CVE-2026-102255 ist in den Quellen nicht belegt.
Einordnung: Was das für Admins in der Schweiz heisst
Wer in einer Schweizer Firma oder bei einem IT-Dienstleister SMA1000 6210, 7210 oder 8200v betreibt, muss sofort handeln. Das Update vom Dienstag gehört in den nächsten Wartungsslot, besser noch heute. Prüfe zusätzlich die Logs der WorkPlace-Oberfläche auf OPTIONS-Anfragen und auf Zugriffe, die interne Dienste erreichen. Wer die Oberfläche nicht von aussen braucht, sollte den Zugriff einschränken. Das Update selbst kostet laut Quellen nichts, ein Einbruch über den VPN-Zugang dagegen viel. Nutzer der SMA-100-Serie oder von SSL-VPN auf SonicWall-Firewalls sind laut Hersteller nicht betroffen.
Fazit
Die Lücke ist behoben, doch Angreifer testen sie bereits. Mit dem Patch und einem Blick in die Logs schliesst Du das Risiko für diese drei Modelle. Als nächsten Schritt öffnest Du den SonicWall-Hinweis, gleichst Deine Firmware ab und prüfst, ob die WorkPlace-Oberfläche wirklich offen im Internet stehen muss.
Quellen: Bing News: SonicWall. Foto: ColossusCloud / Pixabay. Stand: 18. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.