BERLIN / LONDON (IT BOLTWISE) – Volexity ordnet einen kompromittierenden Angriffsstrang dem Threat Actor UTA0533 zu, der SonicWall-SMA-1000er-VPNs bereits vor der öffentlichen Schwachstellenoffenlegung ausnutzte. Im Zentrum stehen die beiden Lücken CVE-2026-15409 (CVSS 10,0) und CVE-2026-15410 (CVSS 7,2), die sich zu willkürlicher Befehlsausführung und vollständigem Systemzugriff verketten lassen. Laut Analyse wurden dabei mehrere Persistenz- und Payload-Komponenten gezielt in laufende Dienste injiziert. Unternehmen sind jetzt gefordert, die von SonicWall bereitgestellten Patches kurzfristig zu priorisieren und die betroffenen Konfigurationspfade zu prüfen.
Bei SonicWall Secure Mobile Access (SMA) zeigt sich einmal mehr, wie schnell Zero-Days in produktionsnahe VPN-Umgebungen gelangen können. In einem Incident-Response-Kontext hat Volexity einen zuvor undokumentierten Angreifer verfolgt und ihm den Namen UTA0533 zugeordnet. Auffällig: Die Ausnutzung soll bereits vor der öffentlichen Offenlegung der betreffenden Schwachstellen erfolgt sein und den Root-Zugriff auf kompromittierten Geräten ermöglicht haben. Die betroffene Organisation wurde nicht öffentlich genannt, doch die zeitliche Einordnung ist klar: Die Spuren beginnen laut Analyse bereits am 22. Juni 2026 und lassen sich bis zu zwei CVEs zurückführen, die SonicWall diese Woche gepatcht hat.
Technisch basiert der Angriff auf einer Kette aus mehreren Fehlerklassen, die in dieser Kombination besonders wertvoll für Angreifer ist: erst Zugriff, dann Seiteneffekte im lokalen Service-Umfeld, anschließend Privilege Escalation. Laut Volexity wurden die CVE-2026-15409 und CVE-2026-15410 sowohl als einzelne Einstiegspunkte als auch als verkettbare Bausteine genutzt. CVE-2026-15409 wird dabei als pre-authentication „/wsproxy“-Bypass beschrieben, der eine WebSocket-Verbindung zu localhost-only Diensten ermöglicht. CVE-2026-15410 trägt die Last der Eskalation: Sie öffnet den Weg zu willkürlicher Codeausführung, nachdem der Angreifer in den Kontext des Appliance-Kontrollservices gelangt.
Der konkrete Ablauf lässt sich an den Artefakten auf zwei betroffenen SMA-Geräten festmachen. Beim ersten Appliance-Profil schrieb der Angreifer am 22. Juni 2026 eine setuid-Logik nach „/usr/bin/xzfind“, die über ein ROOTRUN-Konzept unprivilegierten Code als Root starten kann. Daneben soll „deploy_new.py“ als KNUCKLEBALL abgelegt worden sein, mit zwei eingebetteten JAR-Archiven: ein Suo5-artiger HTTP-Proxy und ein Behinder-ähnlicher Webshell-Cluster namens ORANGETAIL. Entscheidend ist dann die Persistenz: Der Angreifer änderte Startup-Skripte und re-konfigurierte NGINX Unit über „/var/lib/unit/conf.json“, um die Payloads über internetzugängliche URI-Pfade erreichbar zu machen.
Beim zweiten Gerät waren die beobachteten Spuren nach einem Reboot am 2. Juli 2026 geringer, was Volexitys Interpretation stützt, dass einige Backdoors und Speicherresidentes Material mit dem Neustart verschwanden. Dennoch wurden zuvor mehrere Dateien in „/var/tmp“ angelegt, inklusive eines Artefakts (lib.sh), das tcpdump zum Mitschneiden von unverschlüsseltem LDAP-Traffic starten sollte, um später Nutzernamen und Passwörter zu extrahieren. Aus Sicht des Enterprise-Betriebs ist das der Teil, der häufig unterschätzt wird: Ein VPN-Compromise ist nicht nur ein Netzwerkproblem, sondern wird schnell zu einem Credential-Problem. Hier ist die Schadensdynamik typischerweise „Zugriff auf Authentisierungskanäle“ und „Abgreifen nachgelagerter Identitätsdaten“.
Im Market-Kontext fällt außerdem auf, wie schnell das Thema die Breite erreicht. Während Volexity UTA0533 in die laufende Kampagne einordnet, hat Rapid7 eine technische Einordnung geliefert, dass der Zugriff nicht nur den WebSocket-Bypass ausnutzt, sondern auch weitere lokal erreichbare Dienste „durch die Hintertür“ erreichbar macht – darunter eine Erlang-Komponente auf localhost: 1050 und ein ctrl-service auf localhost: 8188. Zusätzlich wird ein separates Authentifizierungsproblem markiert: Der Basic-Auth-Passwortmechanismus soll aus einer lokal lesbaren Hardware-ID („/sys/class/dmi/id/product_uuid“) abgeleitet werden, wodurch ein Angreifer mit Kenntnis des UUID den erwarteten Passwortwert ableiten kann. Diese Authentifizierungsumgehung wurde im beobachteten Incident laut Volexity zwar nicht direkt als genutzt beschrieben, aber sie erhöht die Angriffsfläche, sobald andere Fehler zur Dateilesung greifen.
Vergleicht man das mit früheren Mustern aus der VPN-Landschaft, wird der Trend deutlich: Angreifer bevorzugen häufig „Pre-auth“-Angriffe, weil sie die Hürde gegenüber gültigen Nutzerdaten reduzieren und damit die Erfolgsquote erhöhen. Bei CVE-2026-15409 ist genau das das Prinzip: Eine externe Anfrage (User-Agent „SMA Connect Agent“ und bmID beginnend mit „-3389“) soll eine WebSocket-Tunnelung zu lokalen Endpunkten starten. Danach wird die lokale Angriffsoberfläche orchestriert, unter anderem über CouchDB, das in die Appliance integriert ist und offenbar über localhost erreichbar bleibt. Der PoC-Ansatz, der von SonicWall bzw. dem Sicherheitsökosystem veröffentlicht wurde, zielt auf nicht-root remote Code Execution über den erwarteten Erlang-Mechanismus ab und tunnelt diesen Verkehr ebenfalls über den WebSocket-Kanal.
Für Unternehmen bedeutet das vor allem: Patchen allein reicht selten, weil Persistenzpfade und Konfigurationsänderungen schon vor dem Patch-Zeitpunkt etabliert sein können. In der Praxis sollten IT- und Security-Teams die von Volexity genannten Funktionsbereiche priorisiert prüfen: Änderungen an „/etc/init.d/workplace“, die NGINX-Unit-Konfiguration („/var/lib/unit/conf.json“) sowie auffällige Dateien in temporären Verzeichnissen wie „/var/tmp“. Auch die Logik um den lokalen „/wsproxy“-Zugang und den ctrl-service sollte in der Incident Hunting-Planung vorkommen. Als Sicherheitsregulatorik im Hintergrund gilt dabei: VPN-Compromises berühren häufig personenbezogene Daten und Authentifizierungsdaten, wodurch rechtliche Anforderungen an Meldewege und Aufbewahrung von Forensikspuren schnell relevant werden können.
Ausblickend ist die wahrscheinlichste Entwicklung nicht, dass diese Angriffslogik isoliert bleibt, sondern dass sie als Vorlage für weitere Kampagnen dient. Sobald ein Angreifer den „Chain“-Weg etabliert – WebSocket-Tunnel zu localhost, lokale Service-Ausnutzung und dann Privilege Escalation – lässt sich derselbe Ablauf meist auf verwandte Konfigurationen oder Varianten wieder anwenden. Die Veröffentlichung von PoCs senkt dabei die Kosten für Nachahmer. Positiv für die Verteidigerseite: Durch die klare CVE-Kombination (CVE-2026-15409 mit CVSS 10,0 und CVE-2026-15410 mit CVSS 7,2) sind Risiko- und Reaktionsprioritäten sehr gut bestimmbar. Spätestens jetzt sollte sichergestellt sein, dass die SMA-1000er-Systeme inklusive Abhängigkeiten und Management-Schnittstellen vollständig aktualisiert sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SonicWall SMA Zero-Days liefern Root-Zugriff: Kette mit CVE-2026-15409/15410" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SonicWall SMA Zero-Days liefern Root-Zugriff: Kette mit CVE-2026-15409/15410" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SonicWall SMA Zero-Days liefern Root-Zugriff: Kette mit CVE-2026-15409/15410« bei Google Deutschland suchen, bei Bing oder Google News!