Im Einzelnen handelt es sich um:
- CVE-2026-109593 (CVSS-Wert 9.1) – eine unauthentifizierte Lesezugriffs-Schwachstelle, über die ein Angreifer mit Netzwerkzugriff interne GMS-Dateien auslesen und so möglicherweise sensible Informationen erlangen kann.
- CVE-2026-109594 (CVSS-Wert 6.8) – eine SQL-Injection nach erfolgter Authentifizierung, mit der ein angemeldeter Angreifer unter bestimmten Bedingungen Daten in der GMS-Datenbank einsehen oder verändern kann.
„Das betroffene Produkt hat das Ende seines Lebenszyklus (End-of-Life) erreicht", erklärte SonicWall. „Daher wird für diese Schwachstellen keine Behebung und kein Sicherheitsupdate veröffentlicht. Organisationen, die das Produkt einsetzen, sollten sich der damit verbundenen Sicherheitsrisiken bewusst sein, und es wird ihnen dringend empfohlen, auf den SonicWall Network Security Manager (NSM) umzusteigen."
Weniger als einen Monat zuvor hatte SonicWall Korrekturen für CVE-2026-102255 bereitgestellt, eine kritische Server-Side-Request-Forgery-Lücke mit dem CVSS-Höchstwert 10.0, die ohne vorherige Authentifizierung ausgenutzt werden kann. Angreifer hätten damit interne Funktionen erreichen und unbefugte Operationen ausführen können.
Diese Schwachstelle wird inzwischen aktiv ausgenutzt. Telemetriedaten von Previdian verzeichneten seit dem 9. Oktober 2026 insgesamt 2.541 Angriffsversuche von acht einzelnen IP-Adressen aus Singapur und den USA. Allein am 3. November 2026 wurden bis zu 30 Ausnutzungsversuche registriert.