SonicWall-Lücke CVSS 10,0: INC-Gruppe übernimmt Appliances mit Root-Rechten
Veröffentlicht am: 03.08.2026 um 23:14 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben die Ransomware-Gruppe INC als Hauptakteur hinter einer Angriffsserie auf SonicWall-SMA-1000-Appliances identifiziert. Die Angreifer nutzen zwei Schwachstellen, die eine nicht authentifizierte Remote-Codeausführung ermöglichen. Betroffen sind Unternehmen auf mehreren Kontinenten – auch europäische Organisationen.
Kritische Lücken seit Juni bekannt
Die beiden Schwachstellen, registriert als CVE-2026-15409 und CVE-2026-15410, wurden erstmals am 22. Juni als Zero-Day-Exploits eingesetzt. SonicWall veröffentlichte am 14. Juli Sicherheitsupdates. Am selben Tag nahm die US-Behörde CISA beide Fehler in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf.
Laut einem Bericht von Resecurity vom 1. August wurden Opfer der Kampagne zwischen dem 17. Juli und dem 1. August identifiziert. Die Angriffe trafen Organisationen in den USA, Australien, den Vereinigten Arabischen Emiraten, Kolumbien und der Schweiz.
Technische Details der Angriffskette
Die schwerwiegendere der beiden Lücken, CVE-2026-15409, erreicht einen CVSS-Score von 10,0 – die höchstmögliche Bedrohungsstufe. Sie erlaubt eine Zero-Click-Übernahme der betroffenen Appliance mit Root-Rechten. Angreifer benötigen lediglich eine einzige nicht authentifizierte WebSocket-Anfrage.
Die Angriffskette nutzt einen wsproxy-Tunnel zum lokalen Host, gefolgt von einem Erlang-RPC-Aufruf und Path Traversal. So erlangen die Angreifer vollständigen Systemzugriff.
Immer mehr Unternehmen werden Opfer gezielter Cyberangriffe – diese Checkliste hilft Ihnen dabei, solche Szenarien proaktiv zu verhindern. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre IT-Infrastruktur wirksam absichern. Experten-Report: Cyber-Bedrohungen abwenden
Besonders brisant: Die INC-Gruppe konnte Session-Datenbanken und TOTP-Seeds stehlen. Damit umgehen die Angreifer Multi-Faktor-Authentifizierung (MFA) – selbst geschützte Konten sind nicht mehr sicher. Sicherheitsforscher von Rapid7 beobachteten zudem laterale Bewegungen innerhalb der Opfer-Netzwerke nach der initialen Kompromittierung.
Bei den Angriffen kamen verschiedene Schadprogramme zum Einsatz, darunter die als KNUCKLEBALL, ORANGETAIL und Suo5 bekannten Tools.
Weltweite Auswirkungen und Täteridentifikation
Die INC-Ransomware-Gruppe beansprucht bisher 885 Opfer weltweit für sich. Das Sicherheitsunternehmen Volexity ordnet einen Teil der Aktivitäten im Zusammenhang mit diesen Schwachstellen dem Akteur UTA0533 zu.
Betroffen sind mehrere Modelle der SonicWall-SMA-1000-Serie: die Hardware-Appliances 6210 und 7210, die virtuelle Appliance 8200v sowie das vCMS-Verwaltungssystem.
Wer sich mit der Abwehr von Hacker-Angriffen und digitaler Kriminalität befasst, sollte auch die psychologischen Manipulationstaktiken der Täter kennen. Dieses kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse aktueller Methoden und zeigt in vier Schritten den Weg zum sicheren Unternehmen. Kostenloses Anti-Phishing-Paket herunterladen
Handlungsempfehlungen für betroffene Unternehmen
SonicWall fordert Administratoren auf, umgehend auf die Firmware-Versionen 12.4.3-03453 oder 12.5.0-02835 zu aktualisieren. Doch das reicht nicht aus: Da Angreifer TOTP-Seeds und Session-Daten extrahieren konnten, müssen Unternehmen mit kompromittierten Systemen vom Schlimmsten ausgehen.
Experten empfehlen betroffenen Organisationen:
- Komplette Rotation aller Zugangsdaten
- Erneute MFA-Registrierung aller Nutzer, um gestohlene Secrets zu invalidieren
- Annahme eines kompromittierten Zustands bei zuvor exponierten Appliances
Die Angriffsserie zeigt einmal mehr: Appliances im Grenzbereich des Netzwerks sind bevorzugte Ziele. Wer sie nicht zeitnah patcht, riskiert nicht nur Datenverlust, sondern die vollständige Übernahme der IT-Infrastruktur.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
