SonicWall GMS: Zwei Lücken bleiben ungepatcht, Hersteller rät zum Umstieg auf NSM
SonicWall hat am 3. November 2026 die Lücken CVE-2026-109593 und CVE-2026-109594 im Global Management System offengelegt. Die erste erlaubt Dateizugriff ohne Anmeldung. Ein Patch kommt nicht, da GMS das Supportende erreicht hat. Betreiber sollten abschotten und auf NSM umsteigen.
SonicWall hat am 3. November 2026 zwei Sicherheitslücken im Global Management System (GMS) offengelegt und angekündigt, sie nicht mehr zu schließen. Betroffen sind GMS 9.5.2 und ältere Versionen. Die schwerere Lücke CVE-2026-109593 erlaubt es Angreifern ohne Anmeldung, interne Dateien der Verwaltungssoftware zu lesen. GMS hat sein Supportende erreicht, SonicWall verweist auf den Nachfolger Network Security Manager (NSM).
Betroffen sind Firmen und Dienstleister, die ihre SonicWall-Firewalls noch über eine eigene GMS-Installation unter Windows oder Linux verwalten. NSM nennen die CVE-Einträge nicht als betroffen. Da kein Patch kommt, ist der Schritt nicht das nächste Update, sondern Abschotten und Migration planen.
Was ist passiert?
Gefunden haben die Lücken Forscher von Pentest-Tools.com. SonicWall hat sie unter der Advisory-Nummer SNWLID-2026-0019 zusammengefasst und als CVE-Vergabestelle zwei Einträge veröffentlicht. Beide tragen den Vermerk, dass das Produkt bei der Vergabe nicht mehr unterstützt wurde. Laut BleepingComputer schreibt SonicWall, für das Produkt am Ende seiner Lebenszeit werde es keine Korrektur und kein Sicherheitsupdate geben. Kunden sollen auf NSM umsteigen.
GMS ist laut BleepingComputer die frühere Software zur zentralen Verwaltung vieler SonicWall-Appliances von einer Oberfläche aus, offiziell abgelöst durch NSM. Damit hängen an einer GMS-Instanz typischerweise die Konfigurationen zahlreicher Firewalls.
Wer ist betroffen?
Betroffen ist jede Installation von SonicWall GMS in Version 9.5.2 oder älter, laut CVE-Eintrag auf Windows und Linux. Ein Update, das die Lücken schließt, wird es laut SonicWall nicht geben. Die CVE-Einträge nennen nur GMS, nicht die Firewalls selbst. Deren Risiko steigt aber, wenn ein Angreifer über GMS an deren Verwaltung kommt.
Wie kritisch ist das?
CVE-2026-109593 setzt nur Netzwerkzugang zur GMS-Instanz voraus, eine Anmeldung ist nicht nötig. Laut SonicWall führt die Lücke zum Auslesen interner Dateien und damit möglicherweise zum Abfluss sensibler Daten. Von Codeausführung ist keine Rede. SonicWall selbst nennt keinen CVSS-Wert, die CISA hat die Lücke in ihrer Zusatzbewertung mit CVSS 9.1 eingestuft. CVE-2026-109594 ist eine SQL-Injection, die eine Anmeldung mit hohen Rechten voraussetzt. Damit lassen sich unter bestimmten Bedingungen Daten in der GMS-Datenbank lesen oder ändern, die CISA bewertet sie mit CVSS 6.8. Hinweise auf Ausnutzung gibt es bisher nicht, beide Lücken stehen nicht im KEV-Katalog der CISA. Laut BleepingComputer sind SonicWall-Produkte allerdings häufig Ziel von Angriffen. Im KEV-Katalog der CISA stehen derzeit 19 SonicWall-Lücken, die ersten seit November 2021. Bei 13 davon ist eine Nutzung durch Ransomware-Gruppen bekannt.
Was sollten Admins jetzt tun?
- Inventar: prüfen, ob irgendwo noch eine GMS-Instanz läuft, auch als vergessene virtuelle Maschine oder beim IT-Dienstleister.
- Erreichbarkeit: GMS sofort vom Internet trennen und den Zugriff auf ein Verwaltungsnetz mit wenigen freigegebenen Adressen begrenzen.
- Konten: Administrative GMS-Konten auf das Nötigste reduzieren und Passwörter ändern, da die SQL-Injection ein privilegiertes Konto voraussetzt.
- Logs: Zugriffe auf die GMS-Oberfläche auf unbekannte Quelladressen durchsehen.
- Migration: den Umstieg auf NSM oder eine andere unterstützte Verwaltung terminieren und GMS danach abschalten.
Einordnung für Unternehmen
Der Fall ist typisch für Verwaltungssoftware am Ende ihres Lebenszyklus: Die Software läuft weiter, weil sie funktioniert, bekommt aber keine Sicherheitskorrekturen mehr. Für eine Software, die viele Firewalls steuert, ist das ein schlechter Zustand. Für die meisten kleinen Firmen dürfte die Antwort sein, GMS nicht länger zu betreiben. Wer das nicht kurzfristig schafft, sollte die Instanz zumindest streng abschotten.
Passende Anleitungen auf S-EDV
- Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln
- SonicWall SMA1000: Angriffe auf Lücke CVE-2026-102255 drei Tage nach Patch
