Firewalls und VPN unter Beschuss: SonicWall, Barracuda und Check Point jetzt aktualisieren

In der ersten Novemberhälfte 2026 haben drei Hersteller weit verbreiteter Sicherheitsgeräte laufende Angriffe auf ihre Produkte bestätigt: SonicWall (Firewalls und VPN), Barracuda (E-Mail-Gateways und weitere Geräte) und Check Point (Firewalls). Die US-Behörde CISA hat die Lücken am 6., 10. und 13. November in ihren Katalog ausgenutzter Schwachstellen aufgenommen.

Firewalls, VPN und Spamfilter stehen an der Grenze zwischen Internet und Büronetz. Werden sie kompromittiert, ist der Angreifer bereits drin. Für ein Tessiner KMU ist die praktische Frage einfach: Welches Gerät haben wir, mit welcher Version, und wer aktualisiert es?

SonicWall: das VPN kann die Mehrfaktor-Authentifizierung umgehen

In der Meldung SNWLID-2026-0014 behebt SonicWall sieben Schwachstellen in SonicOS, dem System der Firewalls Gen7 und Gen8 (Serien TZ, NSa, NSsp und NSv). Eine davon, CVE-2026-19868, wird laut Hersteller möglicherweise bereits ausgenutzt: Erfolgt die Anmeldung am SSL-VPN über SAML, kann ein Benutzer mit gültigen Zugangsdaten für eine andere Anmeldemethode (etwa auf der Firewall konfiguriertes LDAP oder RADIUS) die SAML-Kontrollen und damit auch die Mehrfaktor-Authentifizierung umgehen. SonicWall bewertet die Lücke mit CVSS 7.1 und hält fest, dass nur betroffen ist, wer SAML für VPN-Anmeldungen nutzt.

Die übrigen Korrekturen betreffen die Verwaltungsoberfläche (zwei Lücken mit CVSS 8.8) und einige Fehler, die den VPN-Dienst lahmlegen können. Von SonicWall genannte Versionen:

Ist ein Update nicht sofort möglich und wird SAML genutzt, nennt SonicWall als vorübergehende Massnahme, die auf der Firewall konfigurierten LDAP-, RADIUS- und TACACS+-Server zu deaktivieren.

Barracuda: E-Mail-Gateways über die Verwaltungsoberfläche angegriffen

Am 2. November hat Barracuda eine Meldung zu zwei Lücken veröffentlicht und sie am 9. November mit der Bestätigung von Angriffen auf «eine kleine Zahl von Organisationen» ergänzt:

• CVE-2026-116606 im Email Security Gateway (ESG): Sie umgeht die Autorisierung ohne Zugangsdaten und erlaubt es, die Konfiguration des Geräts zu ändern. Barracuda nennt einen Wert von 9.3. Der Angreifer muss allerdings die Verwaltungsoberfläche erreichen können.
• CVE-2026-111560: eine Befehlsinjektion (Wert 8.6), die auch in Load Balancer ADC, Message Archiver, WAF, WAF Control Center und Web Security Gateway vorkommt. Zusammen mit der ersten erlaubt sie laut Hersteller die vollständige Kontrolle über das Gerät.

Barracuda hat Patches verteilt (für das ESG BNSF-40425 oder BNSF-40430, je nach Version) und empfiehlt zu prüfen, ob sie installiert sind, die automatische Aktualisierung wieder einzuschalten, falls sie deaktiviert wurde, und den Zugriff auf Verwaltungsoberflächen auf das interne Netz zu beschränken.

Check Point: vom VPN-Portal zu Administratorrechten

Am 12. November hat Check Point eine Angriffskette gegen nicht aktualisierte Gateways beschrieben, die zwischen dem 30. Oktober und dem 4. November beobachtet wurde (Meldung von Check Point). Der Einstieg erfolgte über die Lücke PHP2Shell (CVE-2026-109618 und CVE-2026-109619) im Mobile-Access-Portal, dieselbe PHP-Schwachstelle, über die wir im Oktober geschrieben haben. Danach nutzten die Angreifer CVE-2026-123039 (CVSS 7.8), um Root-Rechte auf dem Gaia-System zu erlangen. Check Point spricht von einigen Dutzend kompromittierten Systemen in einer einzigen Region; Korrekturen für PHP2Shell gab es seit dem 23. Oktober.

Laut dem Artikel sk1000362 ist die Korrektur in den Jumbo Hotfixes vom November enthalten: R82.20 ab Take 14, R82.10 ab Take 52, R82 ab Take 132 und R81.20 ab Take 174. Die ebenfalls betroffenen Versionen R81 und R81.10 werden nicht mehr unterstützt und sollten auf eine aktuelle Version gebracht werden. Spark-Firewalls sind von CVE-2026-123039 nicht betroffen, laut Check Point aber von PHP2Shell.

Was diese Woche zu tun ist

1. Wissen, welches Gerät im Büro steht. Marke, Modell und Version der Firewall, des VPN und eines allfälligen Spamfilters. Ist das nicht bekannt, beim IT-Dienstleister nachfragen.
2. Auf die genannten Versionen aktualisieren gemäss Tabellen und Meldungen oben und sich die installierte Version schriftlich bestätigen lassen.
3. Die Verwaltungsoberfläche zum Internet hin schliessen. Die Verwaltung der Firewall sollte nur aus dem internen Netz oder über einen eigenen Zugang erreichbar sein. Es gilt dasselbe Prinzip wie bei den erreichbaren Diensten, die zu prüfen sind.
4. Prüfen, ob schon etwas passiert ist. Ein Update schliesst die Lücke, entfernt aber keinen Eindringling, der bereits drin ist. Den Dienstleister bitten, nach ungewöhnlichen VPN-Anmeldungen, neuen Administratorkonten und unerwarteten Konfigurationsänderungen zu suchen; Check Point und Barracuda veröffentlichen dazu eigene Hinweise.
5. VPN-Zugänge überprüfen. Im Zweifel die Passwörter der VPN-Benutzer ändern und prüfen, ob die Mehrfaktor-Authentifizierung wirklich für alle funktioniert: siehe die fünf Stufen sicherer Anmeldung.
6. Geräte ohne Support ersetzen. Eine Firewall, die keine Updates mehr erhält, bleibt jeder neuen Lücke ausgesetzt.

Wir veröffentlichen keine Details zur Ausnutzung dieser Lücken: Ziel ist, zu aktualisieren und zu prüfen.

Nach einem Eindringen: Meldungen

• Datenschutz (revDSG). Wurden Personendaten offengelegt und führt die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen, verlangt Artikel 24 des Datenschutzgesetzes eine Meldung an den EDÖB so rasch als möglich. Der Leitfaden des EDÖB hilft bei der Beurteilung.
• BACS. Für die meisten KMU ist die Meldung an das BACS freiwillig, aber sinnvoll. Für Betreiberinnen kritischer Infrastrukturen gilt dagegen eine Meldepflicht für Cyberangriffe innert 24 Stunden nach der Entdeckung.

Häufige Fragen

Unsere Firewall ist von einer anderen Marke: Können wir uns zurücklehnen?

Deswegen nicht. In den letzten Monaten haben ausgenutzte Lücken Geräte fast aller Hersteller getroffen. Die Regeln bleiben gleich: regelmässige Updates, keine aus dem Internet erreichbare Verwaltung und ein Blick auf die Meldungen des Herstellers.

Wir haben schon aktualisiert: Reicht das?

Kam das Update nach Beginn der Angriffe, lohnt sich eine Prüfung der Protokolle und Konten. Die Angriffe auf Check Point zum Beispiel begannen am 30. Oktober.

Wir nutzen kein SAML für das SonicWall-VPN: Müssen wir aktualisieren?

Ja. Die ausgenutzte Lücke betrifft nur SAML, dasselbe Update behebt aber sechs weitere Schwachstellen, darunter zwei in der Verwaltungsoberfläche.

Unser Ansatz

ElaraTeq Sagl unterstützt KMU und Praxen im Tessin bei der Prüfung der Netzwerkgeräte, der Planung von Updates und der sicheren Konfiguration von Fernzugängen (Beratung, Hosting in der Schweiz). Für eine Prüfung Ihrer Situation können Sie uns kontaktieren.

Quellen

• SonicWall PSIRT, SNWLID-2026-0014, SonicWall SonicOS Affected By Multiple Vulnerabilities, aktualisiert am 9. November 2026
• Barracuda, Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products, aktualisiert am 9. November 2026
• Check Point, sk1000362, CVE-2026-123039, 12. November 2026
• Check Point, Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation
• NIST NVD, CVE-2026-19868, CVE-2026-116606, CVE-2026-111560 und CVE-2026-123039
• CISA, Known Exploited Vulnerabilities Catalog (Aufnahmen vom 6., 10. und 13. November 2026)
• NCSC Niederlande, Kwetsbaarheden in SonicOS van SonicWall met actief misbruik, 9. November 2026
• BACS, Meldepflicht für Cyberangriffe auf kritische Infrastrukturen
• EDÖB, Leitfaden DataBreach