CVE-2026-15409: BSI warnt vor Zero-Day in SonicWall SMA1000

Zwei Zero-Day-Schwachstellen in der SonicWall-SMA1000-Serie werden aktiv ausgenutzt. Das geht aus einer Cybersicherheitswarnung des BSI in der Fassung 1.2 vom 22. Juli 2026 hervor. Über CVE-2026-15409 und CVE-2026-1541 soll ein entfernter Angreifer ohne Authentifizierung Code auf den betroffenen Appliances ausführen können. Betroffen sind laut BSI die Modelle 6210, 7210 und 8200v, die als Remote-Access-Komponenten typischerweise direkt aus dem Internet erreichbar sind. Wer eine dieser Maschinen betreibt, muss im Zweifel von einer vollständigen Kompromittierung des Geräts ausgehen, nicht nur von einem Informationsabfluss.

SonicWall SMA1000: unauthentifizierte Code-Ausführung aus der Ferne

Entscheidend ist der Angriffsvektor: Es braucht keine gültigen Zugangsdaten, keinen gültigen Sitzungstoken und keine vorherige Position im Netz. Die Lücke wirkt gegen die exponierte Oberfläche selbst. Genau diese Klasse von Fehlern ist bei SonicWall kein Einzelfall, sondern ein wiederkehrendes Muster — der Hersteller hat in der Vergangenheit mehrfach unauthentifizierte Angriffe aus der Ferne auf seine Geräte einräumen müssen.

Eine Einordnung, die in der Berichterstattung leicht untergeht: Die SMA1000-Serie ist keine klassische Perimeter-Firewall, sondern eine SSL-VPN- und Remote-Access-Appliance. Diese Unterscheidung ist nicht akademisch. Wer SMA1000 mit den Firewall-Baureihen von SonicWall gleichsetzt, sucht im falschen Asset-Inventar und prüft die falschen Firmware-Zweige. Für Betreiber heißt das, die eigenen Asset-Listen konkret auf die Modelle 6210, 7210 und 8200v durchzusehen, statt pauschal „SonicWall" zu suchen.

SonicWall selbst hat nach BSI-Angaben am 14. Juli 2026 ein Advisory zu den beiden Zero-Days veröffentlicht und verweist darin auf „zahlreiche Fälle", die auf eine Ausnutzung hindeuten. Der genaue Inhalt dieses Advisorys — also ob zum Redaktionszeitpunkt ein Patch, eine feste Firmware-Version oder ein belastbarer Workaround existiert — ist hier nicht belegt und sollte vor jeder Maßnahme direkt beim Hersteller geprüft werden.

Zeitliche Abfolge: Beobachtungen ab 22. Juni, PoC im Juli

Die Warnung des BSI steht am Ende einer Kette, deren Anfangsdatum deutlich früher liegt. Das Sicherheitsunternehmen Volexity informierte am 17. Juli 2026 über Erkenntnisse aus Angriffen, die mindestens seit dem 22. Juni 2026 beobachtet wurden. Dazu gehören zusätzliche Indicators of Compromise, Analysen infizierter Appliances und eine Attribuierung. Wer die Details dieser Attribution wissen will, findet sie in der Volexity-Meldung; in der BSI-Warnung sind sie nicht ausgeführt, und spekulieren sollte man darüber nicht.

Parallel dazu hat Rapid7 technische Details und einen Proof-of-Concept-Exploit veröffentlicht, der CVE-2026-15409 ausnutzt, um ohne Authentifizierung Code auf verwundbaren Appliances auszuführen. Das BSI hält eine Ausnutzung durch weitere Akteure deshalb für wahrscheinlich. Dieser Punkt ist praktisch der wichtigste: Solange ein funktionierender PoC öffentlich liegt, ist die Lücke nicht mehr das Werkzeug einzelner, spezialisierter Gruppen. Sie wird zum Standardrepertoire — und trifft dann auch Häuser, die kein gezieltes Ziel darstellen.

Die zeitliche Reihenfolge ist für die Bewertung des eigenen Risikos relevant. Zwischen dem Beginn der beobachteten Angriffe am 22. Juni und dem Hersteller-Advisory am 14. Juli liegen rund drei Wochen, in denen Betreiber ausschließlich auf Detektion angewiesen waren. Wer erst nach der BSI-Warnung vom 22. Juli mit der Suche nach Kompromittierungsspuren beginnt, muss diesen Zeitraum rückwirkend mitprüfen.

Vorgeschichte: SonicOS, SSLVPN und Ransomware

Die aktuelle Warnung fällt in eine Produktlinie, die in den vergangenen zwei Jahren mehrfach auffällig geworden ist. Bereits 2025 dokumentierte das BSI eine SSLVPN-Schwachstelle in SonicOS — CVE-2024-53704, CWE-287, CVSS 8.2 („hoch") — zu der Rapid7 einen Proof-of-Concept veröffentlichte. Bemerkenswert daran: Das BSI hält fest, dass diese Authentifizierungsumgehung auch MFA aushebelt. Ein zweiter Faktor schützt in solchen Fällen also nicht zuverlässig.

Hinzu kommt ein dokumentierter Vorfall mit realer Schadwirkung. Das BSI beobachtete Ransomware-Angriffe auf SonicWall Gen 7 Firewalls mit aktiviertem SSLVPN und stellt den Bezug zu CVE-2024-40766 her; in diesem Zusammenhang wird die Ransomware-Familie Akira genannt. Die technische Kette vom kompromittierten VPN-Gerät bis zur Verschlüsselung im Netz beschreibt Huntress — mit dem ausdrücklichen Hinweis, dass es sich in jenem Fall um CVE-2024-40766 handelte und eben nicht um einen Zero-Day. Diese Abgrenzung ist wichtig, weil beide Vorfälle in der Diskussion gern vermischt werden.

Der historische Anker reicht noch weiter zurück: Schon in einem Security Notice des Herstellers beschrieb SonicWall einen unauthentifizierten Stack-basierten Buffer Overflow in SonicOS (CVE-2022-22274) — dieselbe Grundklasse: erreichbar aus dem Netz, ohne Anmeldung, potenziell zur Code-Ausführung führend. Die SMA1000-Zero-Days sind damit kein Ausreißer, sondern die jüngste Ausprägung eines strukturellen Problems an der Netzgrenze.

Patch-Status: offen

Ob ein Patch existiert, ist in der vorliegenden Quellenlage nicht belegt. Das ist die zentrale Lücke dieser Meldung, und sie lässt sich nur durch einen Blick in das SonicWall-Advisory vom 14. Juli 2026 sowie in die aktuelle BSI-Warnung schließen. Bis dahin gilt: nicht annehmen, dass ein Update verfügbar ist, und ebenso wenig annehmen, dass keines existiert.

Erkennung und Absicherung

Betreiber sollten drei Dinge parallel angehen. Erstens die Exposition prüfen: Muss die Management- und VPN-Oberfläche der SMA1000 wirklich für das gesamte Internet erreichbar sein? Zweitens die Kompromittierungssuche — nicht nur ab dem 14. Juli, sondern rückwirkend bis mindestens 22. Juni, inklusive der von Volexity genannten Indicators of Compromise. Drittens die Frage nach der Segmentierung: Wenn die Appliance fällt, wie weit kommt ein Angreifer dann ins interne Netz?

MFA ist bei einer Authentifizierungsumgehung, wie sie das BSI für den SonicOS-Fall dokumentiert, kein verlässlicher Schutz. Wer sich allein darauf verlässt, deckt genau den Vektor nicht ab, der hier relevant ist.

Fazit

Die Sachlage ist unangenehm klar: zwei aktiv ausgenutzte Zero-Days in einer internet-exponierten Appliance-Serie, ein öffentlicher Exploit für eine der beiden Lücken und eine Produktlinie mit dokumentierter Vorgeschichte bis hin zu Ransomware-Fällen. Das BSI erwartet weitere Angriffe. Die Dringlichkeit ergibt sich weniger aus der Zahl der bekannten Opfer als aus der Kombination von Nichterreichbarkeit ohne Authentifizierung und öffentlich verfügbarem PoC.

Für Admins gilt: erst Inventar, dann Advisory-Stand, dann Kompromittierungssuche. Wer SMA1000 betreibt, sollte die Geräte in den kommenden Tagen nicht als Nebenschauplatz behandeln.

Quellen