Angreifer nutzen weiterhin gezielt Sicherheitslücken in SonicWall SMA1000-Appliances, um in Unternehmensumgebungen vorzudringen und Ransomware-Angriffe zu starten. Zwei Schwachstellen, die inzwischen gepatcht und öffentlich dokumentiert sind, wurden nachweislich bereits als Zero-Days aus der Wildnis heraus ausgenutzt. Für IT-Teams ist das ein klarer Hinweis: schnelle Aktualisierung und aktive Suche nach Anzeichen einer Kompromittierung sind jetzt besonders wichtig.
Die aktuellen Erkenntnisse stammen unter anderem aus Auswertungen zu Angriffsmustern, die im Zusammenhang mit den betroffenen Geräten beobachtet wurden. Dabei zeigt sich ein wiederkehrendes Muster: Remote-Zugriff wird ermöglicht, anschließend steigen Angreifer bis auf Systemebene auf. Parallel dazu kommen Kontakt- und Druckmethoden zum Einsatz, um Opfer zur Zahlung zu bewegen oder Verhandlungen zu beeinflussen.
Welche SonicWall SMA1000-Lücken betroffen sind
Im Fokus stehen zwei neue Schwachstellen in SonicWall SMA1000 Secure Remote Access Appliances. Sie wurden unter den Kennungen CVE-2026-15409 und CVE-2026-15410 erfasst.
- CVE-2026-15409 mit einem CVSS-Score von 10
- CVE-2026-15410 mit einem CVSS-Score von 7,2
Nach den bisherigen Berichten erlauben beide Fehler unautorisieren Fernangreifern, einen WebSocket-Tunnel zu geschützten Diensten zu öffnen. In der Folge können Angreifer ihre Berechtigungen so weit ausweiten, dass sie schließlich Root-Rechte erlangen.
Wie Angreifer vorgehen: vom Zugriff zur Root-Ebene
Das entscheidende Problem ist nicht nur der Einstieg, sondern die schnelle Eskalation. Nachdem die Angreifer den Zugriff über den WebSocket-Tunnel herstellen, können sie eingeschränkte Dienste ansteuern. Anschließend folgt die Privilege Escalation bis hin zur Kontrolle über das System.
Solche Ketten sind für Ransomware-Betreiber besonders attraktiv, weil sie die Wahrscheinlichkeit erhöhen, dass ein kompromittiertes Gerät als Sprungbrett dienen kann. Genau das wird in mehreren Beobachtungen beschrieben: Angreifer bewegen sich nach dem SMA1000-Startpunkt in der internen Infrastruktur weiter.
Patching und Bekanntmachung: Zeitfenster war kurz
Die betroffenen Lücken wurden am 14. Juli gepatcht. Bereits am selben Tag wurden die Schwachstellen zudem in den Katalog der CISA Known Exploited Vulnerabilities (KEV)-Liste aufgenommen. Entscheidend ist: Laut den Berichten waren die Fehler in der Praxis bereits als Zero-Days aktiv ausgenutzt – mindestens seit dem 22. Juni.
Das bedeutet für Betreiber, dass sich das Risiko nicht auf den Zeitraum bis zur Veröffentlichung beschränkt, sondern reale Angriffe vor der breiten Absicherung stattgefunden haben. Wer nur “kurz nach” einem Patch reagiert, kann je nach Angriffsverlauf trotzdem zu spät sein.
Welche Gruppen wurden bei der Ausnutzung sichtbar
Die Angriffe wurden in unterschiedlichen Zusammenhängen beobachtet. Ein Bericht ordnet die Aktivität einer Ransomware-Gruppe zu, die für den Großteil der aktuellen Ereignisse verantwortlich gemacht wird. Gleichzeitig wurden auch andere Akteure beschrieben, allerdings mit abweichenden Erfolgsquoten.
Auswertung zu INC Ransomware
Resecurity berichtet, dass unter den bekannten Bedrohungsakteuren, die die beiden CVEs in Kombination für die Kompromittierung von SMA1000-Geräten genutzt haben, INC Ransomware als die aktivste Gruppe hervorsticht. Besonders auffällig: Laut Angaben vom Anfang August 2026 habe die Gruppe ihre Aktivitäten spürbar beschleunigt.
Auf ihrem Data Leak Site (DLS) wurden zudem mehrere neue Opfer veröffentlicht. Die Einträge umfassen Organisationen aus verschiedenen Ländern und Sektoren, darunter unter anderem USA, Australien, VAE, Kolumbien und Schweiz.
Weitere Beobachtungen: Credential Harvesting und Backdoor-Ansätze
Eine andere Auswertung ordnet die beobachtete Ausnutzung einem Akteur zu, der als UTA0533 geführt wird. Dabei wird beschrieben, dass von den kompromittierten Appliances Credentials gesammelt wurden und anschließend maliziöse Dateien ausgebracht wurden. Gleichzeitig war es dem Akteur laut Bericht weniger gelungen, sich lateral in andere Systeme auszubreiten.
Ein weiterer Beobachter, nämlich Rapid7, berichtet dagegen von Fällen, in denen Bedrohungsakteure von den SMA1000-Geräten in interne Unternehmensnetzwerke gewechselt sind. Wahrscheinlich geschah das, nachdem auf den kompromittierten Geräten eine Art Backdoor platziert worden war.
DFIR-Unterstützung: Was nach der Kompromittierung bekannt wurde
Resecurity beschreibt, dass das Unternehmen mehrere Opfer bei DFIR (Digital Forensics and Incident Response) sowie bei Schwachstellenbewertungen unterstützt hat. Ziel war, die Ursachen der Kompromittierung einzugrenzen und die Auswirkungen sichtbar zu machen.
Im Rahmen dieser Arbeit wurden außerdem neue Entwicklungen bekannt: Viele der neu betroffenen Organisationen erhielten E-Mails und Telefonanrufe von unbekannten Absendern, die sich als Helfer in Ransomware-Fragen ausgaben.
Drucktaktiken gegen Opfer: E-Mails und Anrufe
Solche Kontaktversuche sind im Ransomware-Umfeld häufig Teil einer Strategie, um Opfer zu Zeitdruck oder zu Verhandlungen zu bewegen. In den Berichten werden konkrete Beispiele genannt.
In einem Fall stammte die E-Mail von einer Domain, die erst nach der Ausnutzung registriert worden war. Diese Registrierung soll über einen chinesischen Domain-Registrar erfolgt sein.
Darüber hinaus gab es Telefonkontakte: Ein Angreifer soll sich als Andrew vorgestellt und behauptet haben, für eine Hackergruppe zu sprechen. Am Ende des Gesprächs wurde eine Kontaktadresse genannt, die für weitere Verhandlungen genutzt werden sollte: info@helprans[.]com.
Resecurity bewertet solche Vorgehensweisen ausdrücklich als typische Drucktaktiken, die von Ransomware-Gruppen eingesetzt werden.
Warum das für Unternehmen jetzt kritisch ist
Für die IT-Sicherheit bedeutet die Lage vor allem eins: Der Angriffsweg ist praxisnah und bereits bewiesen. Wenn Schwachstellen in einem Remote-Access-Gerät ausgenutzt werden, kann das nicht nur einen einzelnen Dienst betreffen, sondern den Zugang zum internen Netz grundlegend verändern.
Zudem zeigt der Vergleich der beobachteten Akteure, dass die Angriffe je nach Gruppe unterschiedlich erfolgreich sein können. Dennoch genügt bereits ein vergleichsweise “kurzer” Angriffspfad, wenn Credentials abgegriffen und in der Folge Zugriffe verlängert oder erweitert werden.
Konkrete Schutzmaßnahmen für SonicWall SMA1000-Betreiber
Die wichtigste Maßnahme ist klar: padden Sie Ihre SMA1000-Appliances so schnell wie möglich. Da die Lücken in der Praxis ausgenutzt wurden, ist “nachsehen, ob Updates verfügbar sind” keine ausreichende Reaktion.
Darüber hinaus empfiehlt sich aktives Vorgehen über reine Patchbarkeit hinaus:
- Threat Hunting: Suchen Sie gezielt nach Indikatoren, die zu einer Ausnutzung passen.
- Audit auf verdächtigen Zugriff: Prüfen Sie, ob sich ungewöhnliche Netzwerk- oder Authentifizierungsmuster finden lassen.
- Abgleich der Konfiguration: Überprüfen Sie, ob nach dem Patch weiterhin der gewünschte sichere Zustand hergestellt ist.
- Vorbereitung auf Incident Response: Halten Sie Prozesse bereit, falls sich doch eine Kompromittierung bestätigt.
Wenn Sie bereits von ungewöhnlichen E-Mails oder Anrufen berichten lassen mussten, sollten Sie das ebenfalls in die Lagebewertung einbeziehen. Solche Signale können Hinweise darauf geben, wie fortgeschritten die Ereignisse sind oder welche Phase der Angreifer gerade adressiert.
Fazit: Patchen, suchen, nachverfolgen
Die aktuellen Berichte unterstreichen, wie stark SonicWall SMA1000 durch gezielte Ausnutzung zweier Schwachstellen im Ransomware-Kontext unter Druck geraten kann. CVE-2026-15409 und CVE-2026-15410 ermöglichen Angreifern den Einstieg über WebSocket-Tunnel und die Eskalation bis zur Root-Ebene. Weil die Fehler bereits als Zero-Days in der Wildnis aktiv waren, ist schnelles Handeln entscheidend.
Wenn Sie SMA1000 betreiben, priorisieren Sie heute noch die Aktualisierung auf gepatchte Versionen und führen Sie im Anschluss eine strukturierte Suche nach kompromittierenden Spuren durch. So reduzieren Sie das Risiko, dass Angreifer aus dem initialen Zugriff weiter in Ihre Systeme vordringen.
Quelle: https://www.securityweek.com/recent-sonicwall-vulnerabilities-exploited-in-ransomware-attacks/
