SonicWall GMS bleibt mit zwei ungepatchten Schwachstellen verwundbar
SonicWall Global Management System (GMS) ist wegen zweier ungepatchter Schwachstellen weiterhin angreifbar. Der CERT-Bund warnt vor möglichen Informationsabflüssen und SQL-Injection-Angriffen. Betroffen ist GMS bis einschließlich Version 9.5.2.
SonicWall hat GMS das Supportende erreicht, weshalb es laut Heise keine Sicherheitspatches mehr geben wird. Die Software wird in Unternehmensnetzwerken zur Verwaltung von IT-Security-Appliances eingesetzt. Betreiber müssen deshalb auf SonicWall Network Security Manager (NSM) wechseln, wenn sie das ungepatchte GMS nicht weiter betreiben wollen.
Die kritische Schwachstelle CVE-2026-109593 lässt sich ohne Authentifizierung ausnutzen. Angreifer können dabei interne GMS-Dateien auslesen. Die als mittel eingestufte CVE-2026-109594 ist eine SQL-Injection-Lücke und setzt eine Anmeldung voraus; danach kann ein Angreifer Daten in der GMS-Datenbank verändern.
Bislang gibt es laut SonicWall keine Hinweise darauf, dass Angreifer die beiden Schwachstellen bereits ausnutzen. Der CERT-Bund beschreibt dennoch mögliche Angriffe zur Offenlegung von Informationen und für SQL-Injection. Da für GMS wegen des End-of-Life-Status keine Korrektur angekündigt ist, bleibt der Wechsel auf NSM die in der Warnung genannte Maßnahme.