Sophos Firewall: Hotfix gegen Kernel-Lücke CVE-2026-98432 wirkt erst nach Neustart
Sophos hat am 6. November 2026 den Hotfix HF110626.1 für Sophos Firewall 23.0 GA, 23.0 EAP1 und 22.0 MR3 veröffentlicht. Er schließt die Kernel-Lücke CVE-2026-98432 mit CVSS 9.8, wird standardmäßig automatisch geladen und erst nach einem Neustart aktiv. Öffentliche Berichte über Angriffe kennt Sophos nicht.
Sophos hat am 6. November 2026 den Hotfix HF110626.1 für Sophos Firewall veröffentlicht. Er schließt die Linux-Kernel-Lücke CVE-2026-98432 im IPv4-TCP-Stack, die das Kernel-CVE-Team mit CVSS 9.8 bewertet. Den Hotfix gibt es derzeit für die Versionen 23.0 GA, 23.0 EAP1 und 22.0 MR3. Bei aktivierter automatischer Hotfix-Installation, dem Standard, wird er automatisch geladen, aktiv wird er aber erst nach einem Neustart der Firewall.
Betroffen sind Sophos-Firewalls mit SFOS und die Remote-Ethernet-Geräte SD-RED 20 und SD-RED 60. Wer eine der drei Versionen betreibt, muss den Neustart im nächsten Wartungsfenster einplanen. Wer eine andere Version betreibt, muss vorerst upgraden, Hotfixes für weitere Versionen will Sophos nachreichen.
Was ist passiert?
Ende Oktober wurde die Use-after-free-Lücke CVE-2026-98432 im TCP-Verbindungsaufbau des Linux-Kernels breit bekannt, S-EDV hat über den Patchstand der Distributionen berichtet. Laut Sophos sind auch Sophos Firewall und Sophos RED betroffen. Sophos hat dazu am 2. November ein Advisory veröffentlicht und zuletzt am 6. November aktualisiert. Für SD-RED 20 und SD-RED 60 steht seit dem 5. November die Firmware 3.0.012 bereit, die als Pattern-Update über die Firewall verteilt wird.
Wer ist betroffen?
Den Hotfix gibt es derzeit nur für Sophos Firewall 23.0 GA, 23.0 EAP1 und 22.0 MR3. Für andere Versionen empfiehlt Sophos ein Upgrade auf 22.0 MR3 oder 23.0, kurz danach steht der Hotfix bereit und verlangt einen weiteren Neustart. Sophos prüft nach eigener Aussage noch, ob weitere Produkte und Dienste betroffen sind, und will das Advisory dann aktualisieren.
Wie kritisch ist das?
Die Bewertungen gehen weit auseinander. Das Kernel-CVE-Team gibt 9.8 an, Red Hat nur 5.9, weil ein Angreifer eine Race Condition gewinnen muss. Unter bestimmten Bedingungen könnte ein Angreifer ohne Anmeldung aus dem Netz Code mit Kernelrechten ausführen. Forscher haben das im Labor gegen einen Server mit Multipath-TCP-Listener gezeigt. Firewalls stehen direkt am Internet und nehmen je nach Konfiguration Verbindungen etwa für VPN oder Portale an. Ob und wie die Lücke auf der Firewall selbst ausnutzbar ist, sagt Sophos nicht. Öffentliche Berichte über Angriffe kennt Sophos bisher nicht.
Was sollten Admins jetzt tun?
- Die laufende SFOS-Version jeder Firewall erfassen. Nur 23.0 GA, 23.0 EAP1 und 22.0 MR3 bekommen den Hotfix direkt.
- Prüfen, ob die automatische Hotfix-Installation aktiv ist, was der Standard ist. Falls nicht, per CLI mit
system hotfix enableeinschalten. - Den Neustart im Wartungsfenster durchführen, er unterbricht den Datenverkehr. Im Control Center erscheint dazu ein Hinweis auf den heruntergeladenen kritischen Hotfix.
- Bei Hochverfügbarkeit zuerst das Auxiliary-Gerät neu starten, danach das primäre Gerät.
- Den Erfolg in der Device Console mit
system hotfix listprüfen: HF110626.1 muss mit Status „Installed“ erscheinen. Bei Hochverfügbarkeit geht der Befehl nur auf dem primären Gerät. Die Seite für Sicherheits-Hotfixes in SFOS 23.0 zeigt diesen Hotfix laut Sophos noch nicht an. - Bei SD-RED 20 und SD-RED 60 die Firmware 3.0.012 kontrollieren.
- Andere Linux-Appliances im Netz inventarisieren und beim Hersteller nach dem Fix fragen.
Einordnung für Unternehmen
Sophos Firewall ist in kleinen und mittleren Firmen verbreitet. Der Hotfix kommt zwar automatisch, schützt aber erst nach dem Neustart. Ein Leser von BornCity berichtet, dass der Hinweis in seiner Umgebung nur im Nachrichten-Widget der Firewalls stand und weder in Sophos Fusion noch per Mail kam. Wer mehrere Firewalls betreut, sollte den Status deshalb aktiv je Gerät abfragen. Der Fall zeigt zudem, wie lange eine Kernel-Lücke nachwirkt: Nach Distributionen, Backup-Appliances und Firewalls folgen vermutlich weitere Hersteller.
Passende Anleitungen auf S-EDV
- Linux-Kernel-TCP-Lücke CVE-2026-98432: Ubuntu und RHEL noch ohne Fix
- Veeam-Appliance: Kernel-Fix gegen CVE-2026-98432, Bootfehler auf AMD EPYC
- pfSense und OPNsense als Firewall: Erstkonfiguration
