Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Eine Sicherheitslücke in Sophos UTM erlaubt es Angreifern, ohne Anmeldung aus dem Internet beliebige Befehle mit root-Rechten auf der Firewall auszuführen. Sophos hat die Lücke CVE-2026-118633 am 28. Oktober 2026 veröffentlicht und mit 9.2 von 10 Punkten als kritisch bewertet. Betroffen sind alle Versionen von Sophos UTM, auf denen der E-Mail-Proxy mit aktivierter Prüfung läuft. Den Patch müssen Administratoren von Hand einspielen.
Gleichzeitig hat Sophos UTM 9 sein Supportende bereits erreicht. Für Unternehmen, die noch eine UTM betreiben, ist die Lücke damit doppelter Anlass zum Handeln: kurzfristig patchen und die Ablösung verbindlich planen.
Das Wichtigste in Kürze
- Die Sicherheitslücke CVE-2026-118633 betrifft laut Sophos alle Versionen von Sophos UTM bis einschließlich 9.724.
- Angreifer können ohne Anmeldung aus der Ferne Befehle mit root-Rechten ausführen und damit die Firewall vollständig übernehmen.
- Angreifbar sind Geräte, deren E-Mail-Proxy mit aktivierter Prüfung E-Mails aus dem Internet annimmt.
- Der Patch wird nicht automatisch verteilt. Nach dem Update auf Version 9.724 wird ein Korrekturpaket manuell installiert.
- Sophos UTM 9 hat das Supportende am 30. Juni 2026 erreicht, Kunden mit gültiger Lizenz werden längstens bis 31. Dezember 2026 unterstützt.
So funktioniert die Sophos-UTM-Lücke
Sophos beschreibt die Schwachstelle in seinem Sicherheitshinweis als Path-Traversal-Lücke. Dabei verarbeitet ein Dienst manipulierte Pfadangaben, ohne sie ausreichend zu prüfen, und gibt so Zugriff auf Bereiche frei, die eigentlich gesperrt sind. Laut dem CVE-Eintrag in der US-Schwachstellendatenbank NVD führt das bei Sophos UTM bis zur Ausführung beliebigen Codes mit root-Rechten, dem höchsten Berechtigungsniveau auf dem Gerät.
Ein gewisser Aufwand bleibt für den Angreifer. Er muss eine sogenannte Wettlaufsituation (Race Condition) gewinnen und seine Angriffe dafür einige Minuten lang wiederholen. Solche Wiederholungen lassen sich allerdings leicht automatisieren. Eine Anmeldung, gestohlene Zugangsdaten oder ein Zugang zum Firmennetz sind nicht nötig.
Zahlen, Daten, Fakten
| Kennzahl | Wert |
|---|---|
| CVSS-4.0-Bewertung durch Sophos | 9.2 (kritisch) |
| Letzte UTM-Version, Voraussetzung für den Patch | 9.724 |
| Supportende von Sophos UTM 9 | 30.06.2026 |
| Spätester Stichtag für Support mit gültiger Lizenz | 31.12.2026 |
Die Bewertung stammt von Sophos selbst. Eine eigene Einstufung der US-Schwachstellendatenbank NVD steht noch aus.
Welche Sophos-UTM-Installationen betroffen sind
Betroffen sind laut Sophos alle Versionen von Sophos UTM. Der Knowledge-Base-Artikel zum Patch grenzt die gefährdete Umgebung genauer ein: UTMs, die als SMTP-Gateway eingesetzt werden, also E-Mails aus dem Internet annehmen, prüfen und an den Mailserver weiterreichen. Angreifen kann jeder, der das Gerät erreicht, um dort E-Mails einzuliefern.
Im Mittelstand ist diese Konstellation verbreitet. Die UTM wurde oft vor Jahren als zentrale Sicherheitslösung angeschafft und übernimmt neben Firewall und VPN auch den E-Mail-Schutz. Sie läuft zuverlässig und fällt deshalb im Alltag kaum auf.
Sophos Firewall wird nicht genannt
Der CVE-Eintrag nennt als betroffenes Produkt ausschließlich SG UTM, nicht die Nachfolgelinie Sophos Firewall.
So patchen Sie Sophos UTM
1
Bestand erfassen
Klären Sie, wo im Unternehmen noch eine Sophos UTM läuft, auch als Zweitgerät oder an einem Außenstandort.
2
Mail-Proxy prüfen
Stellen Sie fest, ob die UTM als SMTP-Gateway arbeitet und der E-Mail-Proxy mit Prüfung aktiv ist. Wird der E-Mail-Schutz nicht mehr gebraucht, schalten Sie ihn ab.
3
Konfiguration sichern
Legen Sie vor dem Eingriff ein aktuelles Backup der UTM-Konfiguration an und speichern Sie es getrennt vom Gerät.
4
Auf Version 9.724 aktualisieren
Der Patch setzt den aktuellen Versionsstand voraus. Ältere Geräte müssen zuerst auf 9.724 gebracht werden.
5
Korrekturpaket einspielen
Laut dem Sophos-Artikel KBA-000049692 wird ein RPM-Paket über die Kommandozeile der UTM installiert, seine Prüfsumme kontrolliert und der betroffene Mail-Dienst neu gestartet. Planen Sie dafür ein kurzes Wartungsfenster ein und kontrollieren Sie danach gezielt, ob die Mailzustellung wieder normal läuft.
Supportende von Sophos UTM
Dass der Patch nicht automatisch kommt, hat mit dem Lebenszyklus des Produkts zu tun. Laut dem Lebenszyklus-Kalender von Sophos (KBA-000003353) hat Sophos UTM 9 das Supportende am 30. Juni 2026 erreicht. Kunden mit gültiger Lizenz werden noch bis zum Ablauf ihrer Lizenz unterstützt, längstens bis zum 31. Dezember 2026.
Ab 2027 gibt es keinen Support mehr
Blind verlassen sollte man sich auf weitere Korrekturen nicht. Spätestens ab dem 1. Januar 2027 ist für Sophos UTM keinerlei Support mehr vorgesehen. Als Nachfolger empfiehlt Sophos die Sophos Firewall.
Wann sich eine neue Firewall lohnt
Die UTM-Lücke wirft eine grundsätzliche Frage auf: Ab wann ist für eine Firewall ein Nachfolger sinnvoller als das nächste Update? Ein starres Alter gibt es dafür nicht, wohl aber klare Anzeichen.
- Der Hersteller hat das Produkt abgekündigt: Mit dem Supportende kommen Sicherheitskorrekturen nur noch ausnahmsweise oder gar nicht mehr. Für ein Gerät am Internetrand ist das das stärkste Argument für einen Austausch.
- Updates erfordern Handarbeit: Müssen Korrekturen einzeln gesucht und eingespielt werden, steigt das Risiko, dass eine Lücke offen bleibt.
- Die Leistung reicht nicht mehr: Moderne Prüfungen, etwa von verschlüsselten Verbindungen, kosten Rechenleistung. Ältere Hardware bremst dann die Verbindung, oder Schutzfunktionen werden abgeschaltet.
- Die Anforderungen haben sich verändert: Mehr Standorte, mobiles Arbeiten und Cloud-Dienste lassen sich mit einer vor Jahren dimensionierten Firewall oft nur über Umwege abbilden.
- Die Lizenzverlängerung steht an: Das ist der richtige Zeitpunkt, die Kosten des Weiterbetriebs mit denen eines Nachfolgers zu vergleichen.
Eine Firewall, die vom Hersteller unterstützt wird, regelmäßig Updates erhält und für die heutige Last ausreicht, muss dagegen nicht ersetzt werden, nur weil sie einige Jahre alt ist. Ein Wechsel ist ein Projekt mit Vorlauf: Regeln, VPN-Verbindungen und Ausnahmen müssen übernommen und getestet werden. Wer erst handelt, wenn die nächste kritische Lücke ohne Patch bleibt, plant unter Zeitdruck.
Empfehlungen für IT-Admins
- Erreichbarkeit einschränken: Prüfen, welche Dienste der UTM aus dem Internet erreichbar sind, und alles schließen, was nicht zwingend nötig ist
- Protokolle sichten: Die Logs des E-Mail-Proxys auf gehäufte, ungewöhnliche Anfragen über mehrere Minuten prüfen, denn genau solche Wiederholungen braucht der Angriff
- Lizenzlaufzeit prüfen: Für jede UTM festhalten, wann die Lizenz und damit der Support endet
- Migration terminieren: Den Wechsel auf ein unterstütztes System mit Datum und Verantwortlichem einplanen, spätestens vor dem 31. Dezember 2026
Bedeutung für Geschäftsführung und Entscheider
Die Firewall steht zwischen Firmennetz und Internet. Übernimmt ein Angreifer sie, kann er im ungünstigsten Fall den gesamten Datenverkehr mitlesen, Regeln verändern und sich von dort aus im Netz weiterbewegen. Eine Lücke ohne Anmeldung an genau dieser Stelle ist deshalb ein Geschäftsrisiko, das weit über die IT hinausreicht.
Für die Planung zählen zwei Termine. Der Patch gehört jetzt eingespielt, der Aufwand dafür liegt bei einem kurzen Wartungsfenster je Gerät. Die Ablösung der UTM muss bis spätestens Ende 2026 erledigt sein und braucht Vorlauf für Auswahl, Beschaffung und Umstellung. Wer dafür heute noch keinen Termin hat, sollte ihn jetzt festlegen.
Laufender IT-Betrieb mit Full Managed-IT
Ob eine Meldung wie diese rechtzeitig ankommt, hängt weniger von der Technik ab als davon, ob jemand fest dafür zuständig ist. Bei Full Managed-IT übernimmt mars solutions den laufenden Betrieb der IT eines Unternehmens. Einige Bausteine greifen bei einem Fall wie der UTM-Lücke direkt:
- Server- und Netzwerkmonitoring (ab Stufe Bronze) zeigt, welche Geräte im Netz laufen und in welchem Zustand sie sind.
- Antispam und DMARC-Management (ab Stufe Bronze) prüft eingehende E-Mails vor der Zustellung. Übernimmt dieser Dienst den E-Mail-Schutz, lässt sich die entsprechende Funktion auf einer alten Firewall abschalten.
- Schwachstellenanalyse intern und extern (ab Stufe Silber) scannt die Systeme in festem Rhythmus. Veraltete oder abgekündigte Geräte am Internetrand fallen so auf, bevor sie zum Problem werden.
Der Austausch einer Firewall bleibt ein eigenes Projekt. Eine laufende Betreuung sorgt dafür, dass er rechtzeitig geplant wird.
FAQ zur Sophos-UTM-Sicherheitslücke
Betroffen sind laut Sophos alle Versionen bis einschließlich 9.724. Angreifbar ist ein Gerät, wenn es als SMTP-Gateway arbeitet und der E-Mail-Proxy mit Prüfung aktiv ist.
Dazu gibt es bislang keine Angaben. Weder der Sicherheitshinweis von Sophos noch der CVE-Eintrag nennen laufende Angriffe. Weil der Angriff ohne Anmeldung funktioniert, sollte der Patch trotzdem zeitnah eingespielt werden.
Sophos nennt keine. Wer den E-Mail-Schutz der UTM nicht mehr benötigt, kann die Funktion abschalten. Ohne aktiven E-Mail-Proxy mit Prüfung fehlt nach Angaben von Sophos die Voraussetzung für den Angriff.
Der Patch schließt diese eine Lücke. Weil der Support für Sophos UTM spätestens am 31. Dezember 2026 endet, muss die Ablösung trotzdem verbindlich geplant werden.
Fazit
Die Sicherheitslücke in Sophos UTM ist ernst: Ein Angreifer braucht keine Anmeldung und erhält im Erfolgsfall die volle Kontrolle über die Firewall. Wer eine UTM als SMTP-Gateway betreibt, sollte sie jetzt auf Version 9.724 bringen und den Patch nach KBA-000049692 einspielen oder den E-Mail-Schutz abschalten, wenn er nicht mehr gebraucht wird. Ebenso wichtig ist der zweite Schritt. Der Support für Sophos UTM endet spätestens am 31. Dezember 2026, und für jedes dieser Geräte sollte jetzt ein fester Termin für den Wechsel auf ein unterstütztes System stehen.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!