CVE-2026-15409
SonicWall SMA1000 Appliances Server-Side Request Forgery Vulnerability
Beschreibung
CVE-2026-15409 ist eine Server-Side-Request-Forgery-Schwachstelle (SSRF) mit maximalem Schweregrad (CVSS 10,0, Kritisch) in der Work-Place-Schnittstelle von SonicWall-SMA1000-Appliances. Ein entfernter, nicht authentifizierter Angreifer kann die Appliance dazu bringen, Anfragen an nicht vorgesehene Ziele zu senden — ohne Benutzerinteraktion und mit einem Scope-Wechsel, der die Auswirkungen über die verwundbare Komponente hinaus ausdehnt. Da SMA1000-Secure-Access-Appliances typischerweise am Netzwerkrand stehen, kann ein erfolgreicher SSRF-Exploit interne Dienste offenlegen und Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittieren. Die CISA hat CVE-2026-15409 in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen und damit aktive Ausnutzung bestätigt — betroffene SonicWall-Installationen der Modelle SMA6210, SMA7210 und SMA8200v erfordern sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma6210 firmware | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
| sonicwall | sma7210 firmware | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
| sonicwall | sma8200v | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-15409(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery tritt auf, wenn eine Anwendung eine Remote-Ressource abruft, ohne die vom Benutzer bereitgestellte URL zu validieren — Angreifer können die Anwendung so zwingen, Anfragen an unerwartete Ziele zu senden, selbst wenn diese durch Firewalls, VPNs oder Netzwerk-Zugriffskontrolllisten geschützt sind. In der Work-Place-Schnittstelle der SMA1000 erlaubt diese Schwäche einem entfernten, nicht authentifizierten Angreifer, die SonicWall-Appliance selbst Anfragen an Ziele seiner Wahl senden zu lassen — das Sicherheits-Gateway wird zum Sprungbrett in Richtung interner Dienste.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
Mit einem CVSS-3.1-Score von 10,0 (Kritisch) steht CVE-2026-15409 an der Spitze der Schweregradskala: aus der Ferne ohne physischen Zugriff ausnutzbar, leicht durchführbar ohne besondere Bedingungen, ohne Authentifizierung und ohne Benutzeraktion. Der geänderte Scope bedeutet, dass der Angriff Ressourcen jenseits der verwundbaren Work-Place-Komponente treffen kann — genau darin liegt die Gefahr von SSRF auf einer Edge-Appliance: Die vertrauenswürdige Netzwerkposition des Geräts lässt sich missbrauchen, um interne Dienste zu erreichen, die Firewalls und Zugriffskontrolllisten sonst abschirmen würden. Alle drei Auswirkungskategorien sind mit Hoch bewertet: Über die Appliance erreichbare sensible Daten können offengelegt werden (Vertraulichkeit), vom Angreifer gesteuerte Anfragen können Systeme und Daten verändern (Integrität) und Dienste können gestört werden (Verfügbarkeit). Da SMA1000-Appliances als Secure-Access-Gateways am Netzwerkperimeter stehen und die CISA die aktive Ausnutzung über die KEV-Listung bestätigt hat, stellen ungepatchte Appliances ein akutes Risiko einer netzweiten Kompromittierung dar.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-15409 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt; die Frist zur Behebung (17.07.2026) ist bereits verstrichen, eine Nutzung durch Ransomware ist derzeit nicht bekannt. Öffentlicher Exploit-Code oder ein Proof of Concept wird in den verfügbaren Quellen nicht referenziert — vorliegend sind das SonicWall-PSIRT-Advisory SNWLID-2026-0008 und der KEV-Katalogeintrag. Der EPSS-Score von rund 1,3 % (67. Perzentil) deutet noch nicht auf massenhafte Ausnutzung hin; die Kombination aus bestätigten Angriffen in freier Wildbahn, einem unauthentifizierten Netzwerk-Angriffspfad und einem CVSS-Score von 10,0 auf einer internetexponierten Secure-Access-Appliance verlangt jedoch sofortiges Handeln, statt eine Ausweitung der Ausnutzung abzuwarten.
Behebung
- Setzen Sie die von der CISA im KEV-Katalog geforderte Maßnahme um: Wenden Sie Mitigationen gemäß den Anweisungen von SonicWall an, beachten Sie die BOD-26-04-Richtlinie „Prioritizing Security Updates Based on Risk" sowie die „Forensics Triage Requirements" der CISA und stellen Sie die Nutzung des Produkts ein, falls keine Mitigationen verfügbar sind. Die KEV-Frist war der 17.07.2026 — die Behebung ist damit bereits überfällig.
- Aktualisieren Sie betroffene Appliances gemäß SonicWall-Advisory SNWLID-2026-0008. Verwundbare Firmware-Versionen auf SMA6210, SMA7210 und SMA8200v sind unter anderem 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800 — führen Sie ein Upgrade auf ein korrigiertes Release gemäß Herstellervorgaben durch.
- Beschränken Sie als Sofortmaßnahme den Zugriff auf die Work-Place-Schnittstelle: Begrenzen Sie die Internet-Exposition der Web-Schnittstellen der Appliance, soweit betrieblich möglich, und filtern Sie Zugriffe über vorgelagerte Netzwerkkontrollen.
- Härten Sie ausgehende Verbindungen SSRF-spezifisch im Sinne der CWE-918-Mitigationspraxis: Beschränken Sie die Outbound-Konnektivität der Appliance auf legitim benötigte Ziele und blockieren Sie Anfragen der Appliance an interne Managementnetze und private IP-Bereiche, die die Work-Place-Funktion nicht kontaktieren muss.
- Prüfen Sie Appliance- und Netzwerkprotokolle auf anomale ausgehende Anfragen der SMA-Appliance — insbesondere Anfragen an interne Hosts oder unerwartete externe Ziele — und führen Sie gemäß CISA-Vorgaben eine forensische Triage für jede Appliance durch, die mit verwundbarer Firmware exponiert betrieben wurde.
Technische Details
CVE-2026-15409 ist eine Server-Side Request Forgery (CWE-918) in der Work-Place-Schnittstelle von SonicWall-SMA1000-Appliances: Die Anwendung ruft Ressourcen auf Basis angreiferbeeinflusster Eingaben ab, ohne das Ziel ausreichend zu validieren, sodass ein entfernter, nicht authentifizierter Angreifer die Appliance Anfragen an nicht vorgesehene Ziele senden lassen kann. SSRF dieser Art ermöglicht Anfragen an Ziele, die Perimeter-Schutzmaßnahmen normalerweise abschirmen würden, weil die Anfragen von der vertrauenswürdigen Appliance selbst ausgehen. Der CVSS-3.1-Vektor (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) dokumentiert die Ausnutzbarkeit: Netzwerk-Angriffsvektor, geringe Komplexität, keine Rechte, keine Benutzerinteraktion — und entscheidend: ein geänderter Scope, sodass die Sicherheitsauswirkung von der verwundbaren Work-Place-Komponente auf andere Ressourcen übergreift, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Die betroffenen Firmware-Stände umfassen sowohl die 12.4.3- als auch die 12.5.0-Release-Linien auf den Plattformen SMA6210, SMA7210 und SMA8200v.
Häufig gestellte Fragen
Wird CVE-2026-15409 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-15409 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit aktive Ausnutzung bestätigt; die Frist zur Behebung (17.07.2026) ist bereits verstrichen. Der EPSS-Score von rund 1,3 % zeigt, dass die Ausnutzung noch nicht weit verbreitet ist; eine Nutzung durch Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2026-15409 betroffen?
Betroffen ist die Work-Place-Schnittstelle der SonicWall-SMA1000-Serie, konkret die Modelle SMA6210, SMA7210 und SMA8200v. Verwundbare Firmware-Versionen sind 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800.
Wie behebe ich CVE-2026-15409?
Aktualisieren Sie betroffene SMA6210-, SMA7210- und SMA8200v-Appliances gemäß SonicWall-Advisory SNWLID-2026-0008 auf eine korrigierte Firmware. Beschränken Sie bis zum Upgrade den Zugriff auf die Work-Place-Schnittstelle, begrenzen Sie die ausgehende Konnektivität der Appliance und prüfen Sie die Protokolle auf anomale, von der Appliance ausgehende Anfragen.
Wie schwerwiegend ist CVE-2026-15409?
CVE-2026-15409 ist mit dem maximalen CVSS-3.1-Score von 10,0 als Kritisch eingestuft. Die Lücke ist aus der Ferne ohne Authentifizierung und Benutzerinteraktion ausnutzbar, der geänderte Scope dehnt die Auswirkungen über die verwundbare Komponente hinaus aus, und Vertraulichkeit, Integrität und Verfügbarkeit sind sämtlich hoch betroffen. Zusammen mit der bestätigten aktiven Ausnutzung und einem EPSS-Score im 67. Perzentil erfordert sie eine sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.