CVE-2026-15410
SonicWall SMA1000 Appliances Code Injection Vulnerability
Beschreibung
CVE-2026-15410 ist eine Code-Injection-Schwachstelle mit hohem Schweregrad in der Appliance Management Console (AMC) der SonicWall SMA1000-Appliances, die es einem entfernten, als Administrator authentifizierten Angreifer erlaubt, beliebige Betriebssystembefehle auf dem Gerät auszuführen. Ursache ist eine unsachgemäße Kontrolle der Code-Generierung (CWE-94), bei der extern beeinflusste Eingaben den ausgeführten Code verändern können. Obwohl die Ausnutzung Administratorrechte voraussetzt, verschafft ein erfolgreicher Angriff die vollständige Kontrolle über das Secure-Access-Gateway und kompromittiert Vertraulichkeit, Integrität und Verfügbarkeit. CISA hat CVE-2026-15410 in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen — die SonicWall-SMA1000-Schwachstelle wird also aktiv ausgenutzt, mit einer Behebungsfrist bis zum 17. Juli 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sonicwall | sma6210 firmware | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
| sonicwall | sma7210 firmware | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
| sonicwall | sma8200v | 12.4.3-03245; 12.4.3-03387; 12.4.3-03434; 12.5.0-02283; 12.5.0-02624; 12.5.0-02800 |
Referenzen
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-15410(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Code Injection tritt auf, wenn Software ein Codesegment ganz oder teilweise aus extern beeinflussten Eingaben konstruiert, ohne Spezialelemente korrekt zu neutralisieren, die Syntax oder Verhalten des beabsichtigten Codes verändern können. In der SMA1000 Appliance Management Console ermöglicht diese Schwäche einem authentifizierten Administrator, Eingaben einzuschleusen, die letztlich als Code interpretiert werden und zur Ausführung beliebiger OS-Befehle auf der Appliance führen.
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Code-Generierung ('Code Injection')
Auswirkungsanalyse
CVE-2026-15410 hat einen CVSS-3.1-Score von 7.2 (Hoch) und ist ohne physischen Zugriff aus der Ferne über das Netzwerk ausnutzbar, mit geringer Angriffskomplexität und ohne Benutzerinteraktion. Der wesentliche begrenzende Faktor ist, dass der Angreifer bereits hohe Privilegien benötigt — ein Administratorkonto auf der AMC —, weshalb der Score trotz der schwerwiegenden Folgen nicht als kritisch eingestuft ist. Nach erfolgreicher Ausnutzung ist der Schaden vollständig: Vertraulichkeit (Hoch): Angreifer können alle von der Appliance verarbeiteten Daten einsehen, einschließlich Zugriffsrichtlinien und Sitzungsinformationen; Integrität (Hoch): Gerätekonfiguration und Datenverkehr lassen sich beliebig manipulieren; Verfügbarkeit (Hoch): das Secure-Access-Gateway kann lahmgelegt werden und damit den Fernzugriff der gesamten Organisation unterbrechen. Da SMA1000-Appliances am Netzwerkrand stehen und den Fernzugriff vermitteln, ist ein kompromittiertes Gerät ein hochwertiger Ausgangspunkt für weitere Angriffe — die KEV-Listung bestätigt, dass Angreifer diese Schwachstelle aktiv ins Visier nehmen, etwa nachdem sie Admin-Zugangsdaten durch Phishing oder Passwort-Wiederverwendung erbeutet haben.
Exploit-Reifegrad
CISA hat CVE-2026-15410 in den Katalog der Known Exploited Vulnerabilities aufgenommen und damit die aktive Ausnutzung von SonicWall-SMA1000-Appliances in freier Wildbahn bestätigt; ein Einsatz durch Ransomware-Gruppen ist derzeit nicht bekannt. Öffentlicher Exploit-Code wird in den verfügbaren Quellen nicht referenziert — die vorliegenden Referenzen sind das SonicWall-Vendor-Advisory und der CISA-KEV-Eintrag. Der EPSS-Score von rund 1,5 % (71. Perzentil) deutet darauf hin, dass breite Massenausnutzung noch nicht prognostiziert wird; die KEV-Listung wiegt jedoch schwerer: Edge-Geräte mit bestätigter Ausnutzung sollten als dringend behandelt und vor Ablauf der Frist am 17. Juli 2026 gepatcht werden.
Behebung
- Setzen Sie die von CISA geforderte Maßnahme um: Wenden Sie die Mitigationen gemäß den Herstelleranweisungen von SonicWall an (Advisory SNWLID-2026-0008), beachten Sie die BOD-26-04-Patch-Vorgaben sowie CISAs „Forensics Triage Requirements" und nehmen Sie das Produkt außer Betrieb, falls keine Mitigationen verfügbar sind — die KEV-Frist ist der 17. Juli 2026.
- Aktualisieren Sie betroffene Geräte der SMA1000-Serie (SMA 6210, SMA 7210 und SMA 8200v mit den Firmware-Versionen 12.4.3-03245 bis 12.4.3-03434 sowie 12.5.0-02283 bis 12.5.0-02800) auf einen korrigierten Firmware-Stand gemäß SonicWall-PSIRT-Advisory.
- Beschränken Sie als Übergangsmaßnahme den Zugriff auf die Appliance Management Console: Binden Sie die AMC an ein dediziertes Management-Netz oder VPN, exponieren Sie sie niemals ins Internet und begrenzen Sie den Zugriff per Firewall-Regeln auf wenige Administrator-Quell-IPs.
- Erzwingen Sie starke Authentifizierung für Administratorkonten (MFA, eindeutige Zugangsdaten), da die Ausnutzung Admin-Zugriff voraussetzt, und prüfen Sie alle AMC-Admin-Konten auf unautorisierte oder verwaiste Einträge.
- Überwachen Sie die Appliance-Logs auf unerwartete administrative Aktionen, Konfigurationsänderungen oder ungewöhnliche Prozesse und führen Sie bei jedem Gerät, das mit verwundbarer Firmware erreichbar war, eine forensische Triage durch — behandeln Sie es als potenziell kompromittiert.
Technische Details
Bei der Schwachstelle handelt es sich um eine Post-Authentication-Code-Injection (CWE-94) in der SMA1000 Appliance Management Console: Von einem authentifizierten Administrator kontrollierte Eingaben fließen ohne ausreichende Neutralisierung von Spezialelementen in die Generierung eines Codesegments ein, sodass der eingeschleuste Inhalt unter bestimmten Bedingungen das Verhalten des ausgeführten Codes verändert und die Ausführung beliebiger OS-Befehle auf dem darunterliegenden System ermöglicht. Der CVSS-3.1-Vektor (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) beschreibt einen über das Netzwerk erreichbaren Angriff mit geringer Komplexität, der keine Benutzerinteraktion, aber hohe Privilegien erfordert; der Scope bleibt unverändert, da der Code innerhalb der Sicherheitsdomäne der Appliance selbst ausgeführt wird. Anders als bei klassischer OS Command Injection liegt die Ursache hier in der Code-Generierungsschicht der Managementanwendung, die dann zur Befehlsausführung auf Betriebssystemebene mit den Rechten der AMC führt. Alle drei Impact-Metriken sind mit „Hoch" bewertet — Codeausführung auf einem Sicherheitsgateway kompromittiert sämtliche Funktionen des Geräts.
Häufig gestellte Fragen
Wird CVE-2026-15410 aktiv ausgenutzt?
Ja. CISA hat CVE-2026-15410 in den Katalog der Known Exploited Vulnerabilities aufgenommen und damit die aktive Ausnutzung gegen SonicWall-SMA1000-Appliances bestätigt. Ein Einsatz durch Ransomware ist derzeit nicht bekannt, und der EPSS-Score von rund 1,5 % spricht eher für gezielte Angriffe als für breites Massen-Scanning.
Welche Produkte sind von CVE-2026-15410 betroffen?
Betroffen ist die SonicWall-SMA1000-Serie, konkret die Firmware der Modelle SMA 6210 und SMA 7210 sowie die virtuelle Appliance SMA 8200v. Verwundbare Firmware-Versionen sind 12.4.3-03245, 12.4.3-03387, 12.4.3-03434, 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800.
Wie behebe ich CVE-2026-15410?
Installieren Sie die im SonicWall-Advisory SNWLID-2026-0008 veröffentlichten Firmware-Updates und Mitigationen gemäß CISAs BOD-26-04-Vorgaben; die KEV-Frist ist der 17. Juli 2026. Beschränken Sie übergangsweise den Zugriff auf die Appliance Management Console auf ein dediziertes Management-Netz und erzwingen Sie starke Administrator-Authentifizierung.
Wie schwerwiegend ist CVE-2026-15410?
CVE-2026-15410 ist mit einem CVSS-3.1-Score von 7.2 als „Hoch" eingestuft. Die Schwachstelle ermöglicht die vollständige Kompromittierung der Appliance (hoher Schaden für Vertraulichkeit, Integrität und Verfügbarkeit), setzt aber ein authentifiziertes Administratorkonto voraus, was den Score begrenzt. Der EPSS-Score liegt etwa im 71. Perzentil aller bewerteten Schwachstellen, und die bestätigte KEV-Listung macht eine zeitnahe Behebung unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.