Swiss KMU Cyber-Alert: SonicWall SMA1000 – aktive Angriffsversuche gegen kritische VPN-Lücke
Aktualisiert: 13. Okt.
Gegen die kritische Schwachstelle CVE-2026-102255 in SonicWall SMA1000 werden nun aktive Angriffsversuche beobachtet. Der öffentlich erreichbare Work-Place-Zugang kann ohne Anmeldung missbraucht werden. Falls Ihr Unternehmen dieses Fernzugangssystem einsetzt, sollte Ihr IT-Dienstleister die Hotfix-Version und mögliche Spuren seit dem 9. Oktober sofort prüfen.
Was ist passiert?
SonicWall veröffentlichte am 6. Oktober 2026 die Schwachstellen CVE-2026-102255 bis CVE-2026-102258. Am 9. und 10. Oktober registrierte Previdian insgesamt 135 Angriffsversuche gegen CVE-2026-102255 von zwei IP-Adressen. Diese Telemetrie bestätigt gezielte Ausnutzungsversuche; sie belegt für sich allein noch keine erfolgreiche Kompromittierung eines Unternehmens.
Könnte mein Unternehmen betroffen sein?
Betroffen sind SonicWall SMA1000-Appliances mit Platform-Hotfixes vor 12.4.3-03670 beziehungsweise vor 12.5.0-03082. Solche Systeme werden für sicheren Fernzugriff und VPN-Verbindungen eingesetzt. Wenn Mitarbeitende oder externe Partner über eine SonicWall-SMA1000-Lösung auf das Firmennetz zugreifen, ist eine sofortige Prüfung erforderlich.
Was sollten Sie jetzt tun?
Beauftragen Sie Ihren IT-Dienstleister, den vollständigen Platform-Hotfix-Build zu prüfen und auf 12.4.3-03670 oder neuer beziehungsweise 12.5.0-03082 oder neuer zu aktualisieren. Er soll zudem die Internet-Erreichbarkeit validieren und Protokolle seit dem 9. Oktober auf passende oder ungewöhnliche Zugriffe prüfen. SonicWall nennt keinen vollständigen Workaround.
Wie dringend ist es?
Sehr dringend. Die Schwachstelle CVE-2026-102255 lässt sich ohne Anmeldung über den Work-Place-Zugang ansprechen und wird mit CVSS 10.0 bewertet. Primäre Sensordaten bestätigen aktive Ausnutzungsversuche. Ein Update und die Prüfung auf mögliche Spuren sollten deshalb nicht auf das nächste reguläre Wartungsfenster verschoben werden.
Informationen für Ihren IT-Dienstleister
Advisory: SNWLID-2026-0017. Aktiv adressierte Lücke: CVE-2026-102255, Pre-Authentication SSRF im Work-Place-Interface. Fix-Builds: 12.4.3-03670 und 12.5.0-03082. Previdian meldet 135 Versuche von zwei eindeutigen IP-Adressen, zuerst beobachtet am 9. Oktober 2026 und zuletzt am 10. Oktober 2026. Die weiteren CVEs des Advisories sind CVE-2026-102256, CVE-2026-102257 und CVE-2026-102258.
