Das Update lief sauber durch. Das war der leichte Teil.

Stellen Sie sich das Wartungsfenster vor, das gestern Nacht geschlossen wurde. Die SMA1000 kam auf einem korrigierten Build wieder hoch, das Change-Ticket sprang auf grün, und jemand schrieb "gepatcht" in den Incident-Kanal. Hat ein Angreifer diese Appliance in den Tagen davor erreicht, macht nichts davon rückgängig, was das Haus längst verlassen hat.

Was tatsächlich abgeflossen ist: Zugangsdaten, aktive Sitzungsdatenbanken und TOTP-MFA-Seeds. Die Seeds sind der Teil, der den Fix überlebt. Ein TOTP-Seed ist das gemeinsame Geheimnis, das Ihre Authenticator-App und Ihre Appliance beide halten, und wer es kopiert, erzeugt beliebig lange gültige sechsstellige Codes. Ein neues Firmware-Build entwertet kein Geheimnis, das bereits gelesen wurde.

Genau diese Eigenschaft ist der Grund, warum das Bundesamt für Sicherheit in der Informationstechnik, das BSI, den Betreibern nicht einfach gesagt hat, sie sollten aktualisieren. Es hat ihnen gesagt, sie sollten von einer Kompromittierung ausgehen.

Zwei CVEs, eine Kette und eine Bewertung, die in die Irre führt

Gefährlich ist keine der beiden Lücken für sich. Gefährlich ist die Reihenfolge.

CVE-2026-15409 ist eine Server-Side Request Forgery, CWE-918, ohne Authentifizierung über /wsproxy auf Port 443 erreichbar. Sie trägt CVSS 10.0 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Zwei Einschränkungen zählen. Es ist SSRF, keine Remote Code Execution. Und diese 10.0 ist SonicWalls eigene Bewertung in seiner Rolle als CNA, erfasst als Secondary. Die NVD hat keinen eigenen primären Score veröffentlicht.

CVE-2026-15410 ist mit CVSS 7.2 HIGH eingestuft, CWE-94, ein Path Traversal im remove_hotfix-Workflow, der bis Root eskaliert. Die Bewertung sagt: post-authentication, Administrator erforderlich.

Ja, aber: genau diese Voraussetzung liefert CVE-2026-15409. Die SSRF öffnet einen Websocket-Tunnel zu Diensten, die ausschließlich auf localhost lauschen, und CVE-2026-15410 bringt das dann bis Root. Beide werden im Tandem ausgenutzt, und damit beschreibt der beruhigende Teil des 15410-Scores eine Hürde, die die erste Lücke bereits abgeräumt hat.

Betroffen sind die SMA1000-Modelle 6210, 7210 und 8200v in den Versionen 12.4.3-03245, -03387 und -03434 sowie 12.5.0-02283, -02624 und -02800. Korrigierte Builds sind 12.4.3-03453 oder höher und 12.5.0-02835 oder höher. Workarounds gibt es keine. SonicWall-Firewall-SSL-VPN und die SMA100-Serie sind nicht betroffen.

Ein öffentlicher Exploit hat das Feld am 15. Juli geöffnet

Das MDR-Team von Rapid7 hat das gefunden, bevor SonicWall es offengelegt hat. SonicWalls eigenes Advisory nennt niemanden als Finder.

Inzwischen existiert ein öffentlicher Proof-of-Concept: das GitHub-Repository remmons-r7/rapid7-CVE-2026-15409, angelegt am 15. Juli, das unauthentifizierte Remote Code Execution über Erlang auf localhost:1050 mit einem fest kodierten Cookie erreicht. Ein Metasploit-Modul ist in Entwicklung. Das BSI warnt ausdrücklich, dass dies den Kreis möglicher Angreifer vergrößert.

Eine Vorsicht zur Beweislage. Die Zeitstempel vom 9. Juli in Rapid7s Veröffentlichung stammen aus dem eigenen Labor des Teams, von einer privaten IP während der Exploit-Entwicklung, und belegen keine Aktivität in freier Wildbahn an diesem Datum. Rapid7 sagt lediglich, die Entdeckung sei vor SonicWalls offizieller Offenlegung erfolgt. Keine Primärquelle nennt ein Startdatum der Ausnutzung, und es existiert keine belastbare Zahl dazu, wie viele Geräte in Europa oder anderswo exponiert sind.

Die Anweisung des BSI: Beweisen Sie, dass Sie sauber sind

Das BSI hat seine Warnung am 15. Juli als Version 1.0 herausgegeben und sie am 16. Juli auf Version 1.1 aktualisiert, Dokumentnummer BITS-H Nr. 2026-271845-1132. Sie trägt die Einstufung "Kritikalität: 3 / Orange" und die Kennzeichnung TLP:CLEAR, darf also frei weitergegeben werden.

Das BSI stellt fest, dass Maßnahmen "müssen unverzüglich ergriffen werden". Die schärfste Anweisung ist die, die man zweimal lesen sollte: "Assume Breach". Betreiber müssen eine Kompromittierung unterstellen, solange sie sie nicht anhand der veröffentlichten Indicators of Compromise widerlegen können. Das BSI sagt ausdrücklich, dass Patchen allein nicht ausreicht, und verlangt Forensik, Neuaufbau, Rotation der Zugangsdaten und Rücksetzung der 2FA-Token.

Das BSI verweist zudem auf IT-Grundschutz NET.3.2: Management-Schnittstellen dürfen niemals ins Internet exponiert werden. Das ist die strukturelle Lehre unter diesem Vorfall, und sie gilt noch, wenn dieses CVE-Paar längst vergessen ist.

Warum der Seed-Diebstahl die Arbeit verändert: mit Zugangsdaten, laufenden Sitzungen und MFA-Seeds in der Hand bewegt sich ein Angreifer lateral durch Active Directory, ganz ohne VPN. Die Appliance ist dann nicht mehr das Ziel, sondern die Tür.

Die Frist von heute gehört jemand anderem

Beide CVEs wurden am 14. Juli in den CISA-Katalog Known Exploited Vulnerabilities aufgenommen, jeweils mit Fälligkeitsdatum 17. Juli, also heute. Die catalogVersion des Feeds lautet 2026.07.16.

Unsere Analyse, und wir kennzeichnen sie als solche: dieses Datum bindet US-Bundesbehörden nach BOD 26-04. In der EU oder im Vereinigten Königreich hat es keine Rechtswirkung. Wer als europäischer Betreiber den KEV-Eintrag als Compliance-Uhr liest, liest den Kalender eines anderen.

Die Anweisung, die hier tatsächlich greift, ist die deutsche, und sie ist die strengere von beiden. Eine Frist verlangt, dass Sie bis Freitag etwas installieren. "Assume Breach" verlangt, dass Sie beweisen, sauber zu sein, und ein Beweis liegt höher als ein abgeschlossenes Change-Ticket. Die Organisationen, die sich im September noch damit beschäftigen, sind die, die pünktlich gepatcht und nie nachgesehen haben, wofür die Seeds in der Zwischenzeit benutzt wurden.

Weiterlesen: Diese ColdFusion-Lücke wurde in Minuten angegriffen  |  Ein gefälschtes Token öffnet jeden verwalteten PC