SonicWall-Fernzugang: zwei Lücken, Höchstwert 10.0, laut Hersteller bereits ausgenutzt

Betroffen ist das Gerät, über das Mitarbeiter von außen ins Firmennetz kommen.

Zwei Nummern, eine davon am oberen Ende der Skala

Offengelegt hat SonicWall die beiden Schwachstellen am 1. September 2026. Die erste trägt die Kennung CVE-2026-83548 und sitzt in der Arbeitsplatz-Oberfläche der SMA1000-Geräte, also in dem Teil, den ein Beschäftigter beim Verbinden von unterwegs zu sehen bekommt. Es handelt sich um eine serverseitige Anfragefälschung, englisch Server-Side Request Forgery: Das Gerät lässt sich dazu bringen, Anfragen im Namen des Systems abzusetzen, die es von sich aus nicht stellen würde. Eine Anmeldung braucht es dafür nach Angaben des Herstellers nicht. Bewertet ist die Lücke mit CVSS 10.0, und höher geht die Skala nicht. Die zweite Kennung, CVE-2026-83549, betrifft die Verwaltungskonsole des Geräts und erlaubt dort das Einschleusen von Betriebssystembefehlen, eingestuft als hoch. Verkettet erlauben beide zusammen nach Darstellung von SonicWall das Ausführen von Code aus der Ferne, ebenfalls ohne vorherige Anmeldung.

Dass die Lücken bereits angegriffen werden, sagt der Hersteller selbst.

Betroffene Modelle und die Versionen, die es beheben

Betroffen sind die SMA1000-Geräte der Modelle 6210, 7210 und 8200v, und zwar in Version 12.4.3-03453 und älter sowie in Version 12.5.0-02835 und älter. Behoben sind die beiden Lücken laut Hersteller in 12.4.3-03526 und in 12.5.0-02952, jeweils als Hotfix für die Plattform.

Die Nummern sehen sich ähnlich, und darin liegt eine Stolperfalle. Wer im Wartungsprotokoll nur nachschlägt, ob überhaupt einmal aktualisiert wurde, hat die Frage noch nicht beantwortet. Es zählt die genaue Bezeichnung des Stands, der gerade läuft.

Was der Hersteller nach dem Einspielen empfiehlt

Die Empfehlungen enden beim Hotfix noch nicht. Genannt sind das sofortige Einspielen und das Einschalten des Hersteller-Supports, um das Gerät auf Spuren eines Einbruchs prüfen zu lassen. Findet sich etwas, sehen die Empfehlungen ein Neuaufsetzen der Hardware vor, das Zurücksetzen aller Zugangsdaten und das Neuerzeugen der Schlüssel für die Einmalpasswörter.

Das ist der Teil, der Zeit kostet, und der Teil, der in der Planung meistens fehlt.

Ein eingespielter Hotfix schließt eine Lücke. Über das, was vor dem Einspielen geschehen sein könnte, sagt er nichts. Wer ein Gerät aktualisiert und den Vorgang damit als erledigt abhakt, hat die Empfehlung des Herstellers zur Hälfte gelesen. Der zweite Teil trifft im Ernstfall jeden im Betrieb, der sich über dieses Gerät anmeldet, denn Zugangsdaten und Einmalpasswort-Schlüssel gehören zu genau diesem Zugang. Ein Termin dafür lässt sich schwer nebenbei finden, weil in der Zeit niemand von unterwegs arbeiten kann. Wer den Ablauf einmal durchdacht hat, bevor der Fall eintritt, verliert im Fall selbst keine zwei Tage mit der Frage, wer das entscheidet.

Wer im Betrieb weiß, was von außen erreichbar ist

Ein Fernzugangsgerät ist genau die Sorte Kasten, die einmal aufgestellt und dann vergessen wird, weil sie funktioniert. Sie steht am Rand des Netzes, ist aus dem Internet erreichbar, und ausdrücklich zuständig ist niemand. In der Buchhaltung taucht sie als Anschaffung von vor vier Jahren auf, im Alltag als Anmeldemaske, durch die morgens der Außendienst hereinkommt.

Die brauchbare Frage nach so einer Meldung ist deshalb nicht, ob im Serverraum ein SonicWall-Gerät steht, sondern ob im Betrieb überhaupt jemand aufschreiben kann, welche Geräte von außen erreichbar sind und wer für ihre Aktualisierung zuständig ist.

Zum größeren Zusammenhang, in dem solche Meldungen bei kleinen Betrieben ankommen, haben wir die Warnung der Five-Eyes-Behörden zu KI-gestützten Cyberangriffen gesondert eingeordnet.

Unsere Einschätzung

Wer diese Liste nicht hat, erfährt vom nächsten Höchstwert erst aus der Zeitung.

In unseren Kursen kommt die Frage regelmäßig vor, welche Systeme eines Betriebs aus dem Internet erreichbar sind, und die Antwort dauert fast immer länger als erwartet. Genannt werden zuerst die Dinge, die jeder benutzt, also die Website und das Mailkonto. Der Router mit Fernwartung, die Zeiterfassung mit Weboberfläche, die Kamera im Lager und eben das Gerät für den Fernzugang tauchen später auf, und zwar nur, wenn jemand nachhakt. Das liegt daran, dass diese Geräte über Jahre unauffällig ihre Arbeit machen und niemandem im Kalender stehen.

Ein Name neben dem Gerät ändert daran mehr als jedes weitere Werkzeug. Betreut ein Dienstleister die Technik, gehört in den Vertrag, dass er auch außerplanmäßige Hotfixes einspielt, in welcher Frist er das tut und wer ihn informiert, wenn ein Hersteller etwas veröffentlicht. Wird die Technik selbst betreut, braucht es eine Person, die die Herstellerhinweise abonniert hat und dafür Arbeitszeit bekommt.

Und dann bleibt die unbequeme Hälfte der Herstellerempfehlung, die Prüfung auf Spuren eines Einbruchs. Sie ist der Grund, das Einspielen nicht bis zum nächsten ruhigen Freitag zu schieben. Je länger ein Gerät in der betroffenen Version läuft, desto größer wird der Zeitraum, den am Ende jemand nachvollziehen muss.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 4. September 2026):

• Rapid7: Critical SonicWall SMA1000 Vulnerabilities CVE-2026-83548, CVE-2026-83549 Exploited in the Wild
• CVE Brief: Ausgabe vom 1. September 2026

Häufige Fragen

Zuletzt aktualisiert: 4. September 2026. Stand der Recherche: 4. September 2026.