Die Threat-Intelligence-Firma Volexity hat im Rahmen einer Incident-Response-Untersuchung eine ausgeklügelte Zero-Day-Kampagne gegen SonicWall SMA-1000-VPN-Appliances aufgedeckt. Die als UTA0533 bezeichnete Angreifergruppe verkettete zwei bislang unbekannte Schwachstellen: Über eine Server-Side-Request-Forgery-Lücke (CVE-2026-15409, CVSS 10.0) im „/wsproxy“-Endpunkt verschafften sich die Angreifer ohne Authentifizierung Zugriff auf die interne Datenbank der Appliance. Aus dort ausgelesenen Systeminformationen leiteten sie ein Passwort ab, mit dem sie über eine zweite Lücke (CVE-2026-15410, CVSS 7.2) letztlich Root-Rechte erlangten.
Erste Kompromittierungen reichen laut Volexity bis zum 22. Juni 2026 zurück – Patches waren zu diesem Zeitpunkt noch nicht verfügbar. Die Angreifer installierten unter anderem eigene Tools zur Rechteausweitung und zum Abgreifen von unverschlüsseltem LDAP-Verkehr. SonicWall hat inzwischen bestätigt, dass die Lücken aktiv ausgenutzt wurden, und beide Schwachstellen mit einem Update geschlossen.
Betreiber von SonicWall-SMA-Appliances sollten das Update umgehend einspielen und ihre Systeme auf Kompromittierungsindikatoren prüfen – insbesondere, wenn die Geräte länger ungepatcht aus dem Internet erreichbar waren.
Comments powered by CComment