SonicWall SonicOS: SSL-VPN-MFA-Umgehung wird in Angriffen ausgenutzt, Firmware-Update erforderlich

Was ist passiert?

Am 6. November 2026 hat SonicWall Updates für sieben Schwachstellen in SonicOS veröffentlicht, dem Betriebssystem seiner Firewalls. Eine davon ist eine Authentifizierungsumgehung im SSL-VPN, mit der Angreifer die Multi-Faktor-Authentifizierung (MFA) umgehen können. Laut dem Bericht wird diese Schwachstelle bereits in Angriffen ausgenutzt.

Ein SSL-VPN ist in der Regel aus dem Internet erreichbar und gewährt Zugriff auf das interne Netzwerk hinter der Firewall. Eine funktionierende MFA-Umgehung entfernt daher einen der wichtigsten Schutzmechanismen für den Fernzugriff auf Ihre Server und internen Systeme.

Die Ausgangsdaten nennen weder die einzelnen Schwachstellen noch die korrigierten Firmware-Versionen. Prüfen Sie den Hinweis von SonicWall und den unten verlinkten Bericht, um die genauen Versionen mit den Korrekturen zu ermitteln.

Wer ist betroffen?

Administratoren von SonicWall-Firewalls mit SonicOS, insbesondere dort, wo das SSL-VPN aktiviert und aus dem Internet erreichbar ist. Wenn Sie SonicWall-Geräte für Kunden verwalten, sollten alle diese Geräte geprüft werden. Geräte, die das am 6. November 2026 veröffentlichte Update nicht erhalten haben, sollten als gefährdet gelten.

Was ist jetzt zu tun?

1. Erstellen Sie eine Liste aller SonicWall-Firewalls, die Sie betreiben, und notieren Sie deren aktuelle SonicOS-Version sowie ob das SSL-VPN aktiviert ist.
2. Öffnen Sie den Hinweis von SonicWall und ermitteln Sie die korrigierte SonicOS-Version für jedes Modell.
3. Exportieren Sie vor dem Update von jedem Gerät eine Sicherung der aktuellen Konfiguration (Einstellungsexport).
4. Installieren Sie die korrigierte SonicOS-Firmware und starten Sie das Gerät neu. Planen Sie ein kurzes Wartungsfenster ein, da der Neustart den Netzwerkverkehr und die VPN-Verbindungen unterbricht.
5. Bestätigen Sie nach dem Neustart, dass die neue Version läuft, die VPN-Verbindungen funktionieren und die MFA für SSL-VPN-Anmeldungen erzwungen wird.
6. Falls Sie nicht sofort aktualisieren können, reduzieren Sie die Angriffsfläche: Beschränken Sie den SSL-VPN-Zugriff nach Möglichkeit auf bekannte IP-Adressen oder deaktivieren Sie das SSL-VPN vorübergehend, bis das Update installiert ist.
7. Da die Schwachstelle bereits ausgenutzt wird, setzen Sie die Passwörter der SSL-VPN-Benutzer zurück, wenn Sie verdächtige Aktivitäten finden, und beenden Sie nach dem Update alle aktiven VPN-Sitzungen.

So prüfen Sie, ob Sie betroffen sind

• Vergleichen Sie die im Geräte-Dashboard angezeigte SonicOS-Version mit den korrigierten Versionen im Hinweis von SonicWall.
• Prüfen Sie die SSL-VPN- und Authentifizierungsprotokolle auf Anmeldungen von unbekannten IP-Adressen oder aus unbekannten Ländern, Anmeldungen zu ungewöhnlichen Zeiten sowie erfolgreiche Anmeldungen ohne passenden MFA-Schritt.
• Kontrollieren Sie die Liste der lokalen Benutzer und der SSL-VPN-Benutzer auf Konten, die Sie nicht angelegt haben, und sehen Sie sich aktuelle Konfigurationsänderungen an.
• Prüfen Sie die internen Server, die über das VPN erreichbar sind, auf ungewöhnliche Anmeldungen oder Zugriffe aus VPN-Adressbereichen.
• Wenn Sie Hinweise auf unautorisierten Zugriff finden, behandeln Sie dies als Sicherheitsvorfall: Isolieren Sie betroffene Systeme, ändern Sie alle Zugangsdaten, die über das VPN verwendet wurden, und untersuchen Sie den Vorfall weiter, bevor Sie zum Normalbetrieb zurückkehren.

Quellen

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/