Zwei Zero-Days, miteinander verknüpft

SonicWall-Kunden sehen sich mit einer neuen Sicherheitsbedrohung konfrontiert, nachdem Forscher bestätigt haben, dass Angreifer zwei zuvor unbekannte Schwachstellen in den Produkten des Unternehmens ausgenutzt und miteinander verknüpft haben, um tieferen Zugang zu anvisierten Netzwerken zu erlangen. Dem Bericht zufolge wurden die Lücken etwa drei Wochen lang aktiv ausgenutzt, bevor SonicWall sie offenlegte und Patches veröffentlichte – die Angreifer hatten also einen deutlichen Vorsprung gegenüber den Verteidigern.

Zero-Day-Schwachstellen sind gerade deshalb gefährlich, weil bei ihrer ersten Nutzung noch kein Patch existiert. Werden zwei Lücken miteinander verknüpft, vervielfacht sich das Risiko: Eine Schwachstelle kann einen ersten Zugriff verschaffen, während die zweite Berechtigungen ausweitet oder eine Sicherheitskontrolle vollständig umgeht. Für Unternehmen, die SonicWall-Firewalls zum Schutz interner Netzwerke, Fernzugriffstools und VPN-Verbindungen einsetzen, kann diese Kombination einen direkten Weg vom öffentlichen Internet in sensible interne Systeme schaffen.

Ein Muster der Probleme für SonicWall

Dies ist für den Anbieter kein Einzelfall. Bereits Anfang 2025 wurden SonicWall-Firewalls von einer massiven Ausnutzungswelle getroffen, von der laut Forschern rund 20 Organisationen betroffen waren, wobei das Tempo der Angriffe zunahm, während Bedrohungsjäger fieberhaft versuchten, das Ausmaß zu erfassen. Kürzlich bestätigte SonicWall zudem einen separaten Sicherheitsvorfall im Cloud-Portal MySonicWall.com, bei dem Angreifer auf Konfigurationsdateien der Firewalls von Kunden zugriffen und diese offenlegten.

Zusammengenommen zeichnen diese Vorfälle das Bild eines Anbieters, dessen Edge-Sicherheitsprodukte und die dahinterstehenden Cloud-Dienste immer wieder zum Ziel ausgeklügelter Angreifer werden. Firewalls stehen an der Grenze zwischen Unternehmens- und sogar kleinen Firmennetzwerken und dem Internet und sind damit ein hochattraktives Ziel: Ist eine Firewall kompromittiert, muss ein Angreifer möglicherweise nichts weiter überwinden, um an interne Daten zu gelangen.

Risiken für Privatsphäre und Datenexposition

Die Auswirkungen auf die Privatsphäre gehen über den unmittelbaren Netzwerkeinbruch hinaus. Firewall-Appliances verwalten häufig VPN-Tunnel, Fernzugriffsdaten und Verkehrslenkungsregeln für eine gesamte Organisation. Wenn Angreifer Zero-Day-Lücken verknüpfen, um administrative Kontrolle zu erlangen, können sie potenziell Datenverkehr abfangen, Zugangsdaten abgreifen oder in Systeme vordringen, die Kundendaten, Mitarbeiterinformationen oder geschäftskritische Informationen speichern.

Die frühere Offenlegung von Firewall-Konfigurationsdateien über das Cloud-Portal von SonicWall verstärkt die Besorgnis zusätzlich. Konfigurationsdateien können Details zur Netzwerkarchitektur, zu Sicherheitsregeln und in manchen Fällen Zugangsdaten oder Schlüsselmaterial enthalten. In den falschen Händen erleichtert diese Art von Informationen es Angreifern, weitere Eindringversuche zu planen und durchzuführen – selbst gegen Organisationen, die nicht direkt von der ursprünglichen Sicherheitslücke betroffen waren. Für Unternehmen und ihre Kunden unterstreicht dies, wie die Sicherheitspanne eines einzelnen Anbieters zu einem breiteren Datenschutzrisiko werden kann.

Was das für Sie bedeutet

Falls Ihre Organisation SonicWall-Firewalls oder verwandte Appliances nutzt, gilt es als oberste Priorität sicherzustellen, dass alle verfügbaren Patches für diese Zero-Day-Schwachstellen eingespielt wurden. Da Angreifer die Lücken bereits ausnutzten, bevor ein Fix existierte, reicht das Patchen allein möglicherweise nicht aus; Sicherheitsteams sollten zudem die Logs auf Kompromittierungshinweise überprüfen, die vor der Offenlegung liegen.

Für Privatanwender und kleinere Unternehmen, die über kein eigenes IT-Sicherheitspersonal verfügen, ist dieser Vorfall eine Erinnerung daran, dass die Geräte, die Ihr Netzwerk schützen, selbst lohnende Ziele sind. Edge-Sicherheitshardware wie Firewalls und VPN-Appliances benötigt genauso viel Aufmerksamkeit bei Updates und Überwachung wie jedes andere geschäftskritische System. Ein Firmware-Update aus Bequemlichkeit aufzuschieben, kann eine bekannte, ausnutzbare Lücke viel länger offen lassen als nötig.

Organisationen, die die Cloud-Management-Tools von SonicWall nutzen, sollten dies zum Anlass nehmen, die Zugriffskontrollen für diese Portale zu überprüfen, Zugangsdaten bei Bedarf zu rotieren und sicherzustellen, dass Konfigurationsdaten nicht unbefugt verändert wurden.

Umsetzbare Handlungsempfehlungen

  • Stellen Sie sicher, dass die neueste SonicWall-Firmware und die Patches für diese verknüpften Zero-Day-Schwachstellen auf allen betroffenen Geräten installiert sind.
  • Überprüfen Sie Netzwerk- und Firewall-Logs auf ungewöhnliche Aktivitäten, die mehrere Wochen zurückreichen, da die Ausnutzung Berichten zufolge bereits vor der öffentlichen Offenlegung begann.
  • Rotieren Sie Zugangsdaten und überprüfen Sie den Zugriff auf alle Cloud-Management-Konten von SonicWall, insbesondere angesichts der vorherigen Offenlegung von Konfigurationsdateien.
  • Behandeln Sie Perimetersicherheitsgeräte – nicht nur interne Server – als kritische Assets, die ein regelmäßiges Patch-Management und Monitoring erfordern.

Da Zero-Day-Angriffe auf Netzwerkhardware immer wieder auftauchen, ist es eine der wirksamsten Maßnahmen zur Eindämmung des Risikos, Herstellerhinweise aufmerksam zu verfolgen und Patches zügig einzuspielen. Behalten Sie die offiziellen Mitteilungen von SonicWall und vertrauenswürdige Sicherheitsberichte im Auge, um über die weitere Entwicklung informiert zu bleiben.