SonicWall-SMA1000-Zero-Days (CVSS 10.0) werden aktiv ausgenutzt, ein neuer aktiv angegriffener Chrome-Zero-Day und eine Ransomware-Welle rund um die Berliner Landesverwaltung
Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.
Liebe Leserinnen und Leser,
auch diese Woche steht im Zeichen von Lücken, die Angreifer schneller ausnutzen, als Patches im Netz ankommen: In SonicWalls SMA-1000-Fernzugriffsgeräten – bei vielen Mittelständlern das Tor zum Firmennetz – werden gleich zwei Zero-Days mit dem Höchstwert 10,0 aktiv angegriffen. Parallel hat Google ein Notfall-Update für Chrome herausgegeben, weil eine weitere Browser-Lücke bereits ausgenutzt wird, und die Ransomware-Gruppe Rhysida macht mit einem Angriff auf die Berliner Landesverwaltung Schlagzeilen. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.
Top 1: SonicWall SMA 1000 – zwei Zero-Days (CVSS 10.0) werden aktiv ausgenutzt
SonicWall warnt vor zwei Zero-Day-Schwachstellen in den SMA-1000-Appliances – weit verbreiteten Geräten für sicheren Fernzugriff und VPN. CVE-2026-83548 (eine Server-Side-Request-Forgery-Lücke, Bedrohungswert 10 von 10) und CVE-2026-83549 (Befehls-Einschleusung) lassen sich verketten, sodass nicht angemeldete Angreifer aus der Ferne beliebigen Schadcode ausführen können. Betroffen sind die Modelle 6210, 7210 und 8200v.
Sicherheitsfirmen wie Sophos und Rapid7 beobachten laufende Angriffe. Brisant: Bereits bei einem früheren SMA-1000-Vorfall im Juli wurden Berichten zufolge die „Seeds“ abgegriffen – die geheimen Startwerte, aus denen die Einmalcodes der Mehr-Faktor-Anmeldung erzeugt werden. Solche Geheimnisse bleiben auch nach einem Update gültig, wenn sie nicht aktiv erneuert werden.
Die US-Behörde CISA hat beide Lücken am 2. September in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Es gilt dieselbe Lehre wie zuletzt bei „CitrixBleed“: Ein reines Firmware-Update genügt nicht, wenn Zugangsdaten und MFA-Geheimnisse bereits abgeflossen sind.
Was bedeutet das für Sie?
- Prüfen Sie, ob Sie SonicWall SMA 1000 für Fernzugriff oder VPN einsetzen, und spielen Sie das Hersteller-Update umgehend ein – zuerst bei aus dem Internet erreichbaren Geräten.
- Erneuern Sie nach dem Update nicht nur Passwörter, sondern auch die MFA-Seeds bzw. die Einmalcode-Konfiguration; beenden Sie aktive Sitzungen und lassen Sie nach neuen Admin-Konten und Hintertüren suchen.
- Machen Sie die Verwaltungsoberfläche nicht offen aus dem Internet erreichbar, beschränken Sie den Fernzugriff auf bekannte IP-Bereiche und sichern Sie ihn mit phishing-resistenter Mehr-Faktor-Anmeldung ab.
Top 2: Neuer Chrome-Zero-Day (V8) wird aktiv angegriffen – Browser jetzt aktualisieren
Google hat ein Notfall-Update für Chrome veröffentlicht, das eine bereits aktiv ausgenutzte Lücke in der V8-Engine schließt – dem Motor, der in Chrome JavaScript und WebAssembly ausführt. Die Schwachstelle CVE-2026-85046 (eine „Type Confusion“, Bedrohungswert 8,8) lässt sich über eine präparierte Webseite ausnutzen, um Schadcode auf dem Gerät auszuführen. Es genügt der Besuch einer manipulierten Seite.
Es ist bereits der sechste aktiv ausgenutzte Chrome-Zero-Day in diesem Jahr – ein deutliches Muster: Angreifer nutzen den Browser als Einstiegstor, weil er auf praktisch jedem Arbeitsplatz und Smartphone läuft. Auch Chromium-basierte Browser wie Microsoft Edge, Brave und Opera nutzen dieselbe Engine und erhalten die Korrektur.
Da der Browser für Angreifer so attraktiv ist, zählt hier vor allem Tempo: Wer zeitnah aktualisiert und neu startet, nimmt den Angreifern das offene Fenster.
Was bedeutet das für Sie?
- Bringen Sie Chrome auf die neueste Version (mindestens 152.0.7977.82) und starten Sie den Browser anschließend vollständig neu – sonst wird das Update nicht wirksam.
- Aktualisieren Sie Chromium-basierte Browser wie Edge, Brave und Opera ebenfalls und aktivieren Sie automatische Updates für Browser und Betriebssystem.
- Starten Sie Arbeitsgeräte regelmäßig neu, damit installierte Updates tatsächlich greifen – gerade bei Rechnern, die tagelang durchlaufen.
Top 3: Ransomware-Welle – Berliner Landesverwaltung betroffen, meist über gestohlene Zugangsdaten
Die Ransomware-Gruppe Rhysida reklamiert einen Angriff auf die Berliner Landesverwaltung für sich und will dabei rund 5,79 Terabyte Daten erbeutet haben – darunter Verträge, Zugangsdaten und Personalunterlagen. Solche Angriffe auf öffentliche Stellen zeigen, wie folgenreich ein einzelner erfolgreicher Einbruch sein kann.
Der Fall passt zu einem klaren Trend: Laut dem „State of Ransomware 2026“ von Sophos gehen rund 79 Prozent der Ransomware-Angriffe auf kompromittierte Zugangsdaten zurück – also auf gestohlene oder erratene Passwörter, nicht auf exotische Zero-Days. Angreifer melden sich zunehmend einfach an, statt aufwendig einzubrechen.
Für kleine und mittlere Unternehmen heißt das: Der wirksamste Schutz liegt weniger im Abwehren spektakulärer Lücken als in solider Basis-Hygiene – Mehr-Faktor-Anmeldung, saubere Passwörter und getestete Backups.
Was bedeutet das für Sie?
- Aktivieren Sie Mehr-Faktor-Anmeldung flächendeckend – besonders für Fernzugänge, E-Mail und Administratorkonten – und unterbinden Sie Passwort-Wiederverwendung mit einem Passwort-Manager.
- Halten Sie Offline- bzw. unveränderbare (immutable) Backups vor und testen Sie die Wiederherstellung regelmäßig – nur ein getestetes Backup schützt zuverlässig vor Erpressung.
- Achten Sie auf Alarmzeichen wie ungewöhnliche Anmeldungen oder plötzlich deaktivierte Schutzsoftware und halten Sie einen einfachen Notfallplan bereit.
⚡ Quick News der Woche
- CISA ergänzt sieben aktiv ausgenutzte Lücken: Darunter JFrog Artifactory (CVE-2026-82329, Bedrohungswert 9,8) – eine Anmelde-Umgehung, über die Angreifer Admin-Tokens erzeugen und Reverse-Shells ablegen. Am 2. September in den KEV-Katalog aufgenommen, Frist 5. September. Selbst gehostete Artifactory-Instanzen sofort patchen.
- ownCloud aktiv angegriffen: Die CISA warnt vor Ausnutzung einer ownCloud-Lücke (CVE-2023-49105); unter anderem wurden Daten aus Forschungseinrichtungen abgezogen. ownCloud-Instanzen prüfen, aktualisieren und auf Auffälligkeiten untersuchen.
- EU Cyber Resilience Act – 24-Stunden-Meldepflicht ab 11. September: Hersteller vernetzter Produkte müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle künftig binnen 24 Stunden an ENISA und CSIRT melden. Wer Produkte mit digitalen Elementen anbietet, sollte seine Meldeprozesse jetzt vorbereiten.
- Phishing zur Fußball-WM 2026: Sicherheitsforscher zählten zwischen Sommer 2025 und Juni 2026 über 4.300 gefälschte WM-Webseiten, die Tickets oder Streams vorgaukeln. Vorsicht bei WM-Links – besonders auf Firmengeräten.
- Apple-Sicherheitsupdate: Apple hat aktiv ausgenutzte Zero-Day-Lücken in iOS, iPadOS und macOS geschlossen, die für gezielte, „ausgefeilte“ Angriffe genutzt wurden. iPhone, iPad und Mac zeitnah aktualisieren.
💡 Fazit & Empfehlung
Diese Woche zeigt erneut: Angreifer sind schnell – bei Appliances, im Browser und über gestohlene Zugangsdaten. Achten Sie auf drei Stellschrauben:
✓ Fernzugriffe härten: SonicWall SMA & Co. sofort patchen, nach dem Update Zugangsdaten und MFA-Seeds erneuern und die Verwaltung nicht offen ins Internet stellen – bei abgeflossenen Geheimnissen genügt der Patch allein nicht.
✓ Endgeräte aktuell halten: Chrome, Edge und Betriebssysteme umgehend aktualisieren und neu starten, automatische Updates aktivieren – der Browser ist das häufigste Einstiegstor.
✓ Basis-Hygiene gegen Ransomware: Mehr-Faktor-Anmeldung überall, keine Passwort-Wiederverwendung und getestete Offline-Backups – vier von fünf Angriffen beginnen mit gestohlenen Zugangsdaten.
Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.
📚 Quellen
- SonicWall / Sophos / Rapid7 / SecurityWeek / BleepingComputer: SMA-1000-Zero-Days CVE-2026-83548 (SSRF, 10.0) und CVE-2026-83549 aktiv ausgenutzt (unauthentifizierte RCE), CISA-KEV-Aufnahme 02.09.2026
- The Hacker News / Help Net Security: Chrome-V8-Zero-Day CVE-2026-85046 (Type Confusion) aktiv ausgenutzt, Notfall-Update auf 152.0.7977.82
- boerse-express / cybernews: Ransomware Rhysida – Angriff auf die Berliner Landesverwaltung (5,79 TB); borncity / Sophos „State of Ransomware 2026“: 79 % über gestohlene Zugangsdaten
- The Hacker News / Qualys / SecurityWeek: CISA-KEV +7 (02.09.2026) inkl. JFrog Artifactory CVE-2026-82329; it-boltwise / CISA: ownCloud CVE-2023-49105
- NetGuide: EU Cyber Resilience Act – 24-Stunden-Meldepflicht ab 11.09.2026; heise / borncity: Phishing zur Fußball-WM 2026; SecurityWeek / TechRadar: Apple-Zero-Day-Updates
👉 Letzte Woche verpasst? Hier geht's zum vorherigen Wochenrückblick: Wochenrückblick KW 35/2026.
© IT Navigator · Wochenrückblick KW 36/2026 · Stand: 04.09.2026
IT-Wochenrückblick KW 36/2026: SonicWall-Zero-Days (CVSS 10.0) aktiv ausgenutzt, neuer Chrome-Zero-Day & Ransomware-Welle