Path-Traversal-Schwachstelle in Sophos SG UTM ermöglicht nicht authentifizierten Angreifern die Codeausführung als root (CVE-2026-118633)

Was passiert ist

CVE-2026-118633 ist eine Path-Traversal-Schwachstelle in Sophos SG UTM. Sie ist über das Netzwerk für nicht authentifizierte Angreifer erreichbar und erfordert keine Benutzerinteraktion. Der verwundbare Zustand liegt vor, wenn der E-Mail-Proxy mit aktivierter Prüfung verwendet wird.

Laut CVE-Eintrag gelingt eine erfolgreiche Ausnutzung nicht mit einer einzelnen, klar abgrenzbaren Anfrage: Der Angreifer muss eine Race Condition gewinnen, indem er die Angriffe über einen Zeitraum von mehreren Minuten wiederholt. Ist dies erfolgreich, kann der Angreifer beliebigen Code als root auf der UTM-Appliance ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des Geräts. Der CVSS-4.0-Wert beträgt 9,2 und wird als kritisch eingestuft.

Weder der CVE-Eintrag noch der Sicherheitshinweis von Sophos geben an, dass die Schwachstelle bereits aktiv ausgenutzt wird.

Wer betroffen ist

Betroffen sind die Versionen von Sophos SG UTM bis einschließlich 9.724; der CVE-Eintrag beschreibt alle Versionen als betroffen. Dabei handelt es sich typischerweise um eine aus dem Internet erreichbare Unified-Threat-Management-Appliance, und die verwundbare Stelle liegt in der E-Mail-Proxy-Funktion. Das Problem tritt nur auf, wenn die E-Mail-Proxy-Prüfung aktiviert ist.

Sophos bezeichnet UTM als End-of-Life; weder im CVE-Eintrag noch im Sicherheitshinweis wird eine korrigierte Version genannt.

Was jetzt zu tun ist

Weder im CVE-Eintrag noch im Sicherheitshinweis von Sophos wird eine korrigierte Version genannt. Der CVE-Eintrag gibt an, dass UTM das End-of-Life erreicht hat und ein etwaiger Patch manuell eingespielt werden müsste; es wird jedoch kein Patch-Identifier und kein Release genannt.

1. Erfassen Sie alle noch aktiv genutzten Sophos-SG-UTM-Appliances. Stellen Sie fest, ob der E-Mail-Proxy aktiviert ist und ob die Prüfung eingeschaltet ist.
2. Reduzieren Sie die Erreichbarkeit sofort. Wenn die E-Mail-Proxy-Prüfung nicht erforderlich ist, deaktivieren Sie sie oder entfernen Sie die E-Mail-Proxy-Rolle. Beschränken Sie den Zugriff auf die Verwaltungs- und Proxy-Schnittstellen der UTM aus nicht vertrauenswürdigen Netzen.
3. Überwachen Sie diese Appliances auf ungewöhnlich hohe Mengen wiederholter Anfragen an den E-Mail-Proxy; der CVE-Eintrag bringt diese mit der Race Condition in Verbindung.
4. Prüfen Sie, ob End-of-Life-Sophos-UTM-Appliances entfernt oder migriert werden können, da normaler Produktsupport und regelmäßige Patch-Zyklen nicht vorausgesetzt werden sollten.

Wie man es erkennt

Der Sicherheitshinweis von Sophos nennt keine Anzeichen für eine Kompromittierung. Konzentrieren Sie sich auf die Erreichbarkeit: Erfassen Sie alle aus dem Internet erreichbaren Sophos-SG-UTM-Geräte und stellen Sie fest, bei welchen die E-Mail-Proxy-Prüfung aktiviert ist. Da der CVE-Eintrag angibt, dass die Race Condition durch wiederholte Angriffe über mehrere Minuten gewonnen wird, können ungewöhnlich hohe Mengen wiederholter Anfragen an den E-Mail-Proxy eine Untersuchung rechtfertigen.

Über den Patch hinaus

Durch eine derartige Schwachstelle wird aus einer in die Jahre gekommenen Perimeter-Appliance ein Einfallstor mit root-Rechten. Mit den Virtual CISO Services (vCISO) von Spirity können Sie exponierte und nicht mehr unterstützte Sicherheitsgeräte erkennen, bevor ein Sicherheitshinweis darauf aufmerksam macht. Mit Managed Detection and Response (MDR) lassen sich die Aktivitäten erkennen, die auf eine root-Shell auf Ihrem Sicherheitsgateway folgen.