CVE-2026-98432: Sophos Firewall Hotfix für Kernel-Schwachstelle im TCP-Stack
Sophos hat für die Sophos Firewall einen Hotfix für die Kernel-Schwachstelle CVE-2026-98432 veröffentlicht. Damit der Hotfix installiert wird, muss die Firewall neu gestartet werden.
Der Hotfix steht aktuell für SFOS 23.0 GA, SFOS 23.0 EAP1 und SFOS 22.0 MR3 zur Verfügung. Wird eine andere Version eingesetzt, empfiehlt Sophos das Upgrade auf eine unterstützte Version: SFOS 22.0 MR3 oder SFOS 23.0 GA.
Das Wichtigste in 30 Sekunden
Direkt zu den wichtigsten Themen
Was steckt technisch hinter CVE-2026-98432?
CVE-2026-98432 ist eine Use-after-Free-Schwachstelle in der IPv4-TCP-Implementierung des Linux-Kernels. Unter bestimmten Bedingungen könnte ein nicht authentifizierter Angreifer aus der Ferne Code mit Kernel-Rechten ausführen.
Stellen Sie sich eine Garderobe vor. Ein Mitarbeiter gibt eine Garderobenmarke zurück, der Haken wird neu vergeben, aber jemand hält noch die alte Marke und holt damit fremde Sachen ab.
Bei einem Use-after-Free greift ein Programm auf Speicher zu, der bereits freigegeben und möglicherweise neu verwendet wurde. Ein Angreifer, der diesen Moment trifft, kann den Inhalt manipulieren.
Die Ausnutzung hängt von einer Race Condition ab – ein Angreifer muss also einen bestimmten zeitlichen Ablauf treffen. Forscher konnten in einer Laborumgebung Remote Command Execution gegen einen Server mit einem MPTCP-Listener demonstrieren.
Laut Sophos Security Advisory sind derzeit keine öffentlichen Berichte über eine Ausnutzung der Schwachstelle in freier Wildbahn bekannt.
Quelle: Sophos Security Advisory zu CVE-2026-98432. Stand: 06.11.2026.
Für welche SFOS-Versionen ist der Hotfix verfügbar?
Sophos nennt derzeit drei SFOS-Versionen, für die der Hotfix verfügbar ist:
| SFOS-Version | Hotfix verfügbar | Einordnung |
|---|---|---|
| SFOS 23.0 GA | Ja | Von Sophos als unterstütztes Upgrade-Ziel genannt |
| SFOS 23.0 EAP1 | Ja | Hotfix verfügbar; Early-Access-Version |
| SFOS 22.0 MR3 | Ja | Von Sophos als unterstütztes Upgrade-Ziel genannt |
Der Hotfix ist zwar auch für SFOS 23.0 EAP1 verfügbar. Befindet sich eine Firewall jedoch auf einer anderen Version, nennt Sophos SFOS 22.0 MR3 oder SFOS 23.0 GA als unterstützte Upgrade-Ziele für den Erhalt des Hotfixes.
Sophos kündigt an, den Community-Beitrag zu aktualisieren, sobald Hotfixes für weitere Versionen verfügbar sind.
Welche Sophos Firewall Firmware empfehlen wir aktuell? Unsere aktuelle Einordnung zu SFOS-Versionen, MR-Releases, Upgrade-Planung und produktiven Firewall-Systemen.Was müssen Administratoren jetzt tun?
Ist die automatische Hotfix-Installation aktiviert, lädt die Sophos Firewall den Hotfix automatisch herunter.
Der Download allein installiert den Hotfix jedoch noch nicht: Die Firewall muss anschließend neu gestartet werden.
Sophos weist ausdrücklich darauf hin, dass der Neustart der Firewall den Datenverkehr unterbricht. Der Neustart sollte deshalb innerhalb eines geplanten Wartungsfensters durchgeführt werden.
Hotfix installieren
Das von Sophos beschriebene Vorgehen:
- An der WebAdmin-Oberfläche der Sophos Firewall anmelden.
- Im Control Center prüfen, ob die Warnmeldung zum heruntergeladenen Hotfix für CVE-2026-98432 angezeigt wird.
- Wartungsfenster einplanen.
- Firewall neu starten.
Automatische Hotfix-Installation ist deaktiviert
Ist die automatische Hotfix-Installation deaktiviert, muss sie zunächst aktiviert werden.
Dazu an der CLI anmelden, 4 für Device Console auswählen und folgenden Befehl ausführen:
system hotfix enable
Anschließend warten, bis der Hotfix heruntergeladen wurde. Seine Verfügbarkeit kann danach im Control Center oder über die CLI geprüft werden.
Hotfix-Status vor und nach dem Neustart prüfen
Mit system hotfix list können Sie den Status von
HF110626.1 sowohl vor als auch nach dem erforderlichen
Neustart prüfen.
Dazu an der CLI anmelden, 4 für Device Console auswählen und folgenden Befehl ausführen:
system hotfix list
In der Liste muss HF110626.1 erscheinen. Sophos weist darauf hin, dass dort auch weitere Hotfixes gelistet sein können.
Vor dem Neustart
Sobald der Hotfix zur Installation bereitsteht, starten Sie die Firewall innerhalb des geplanten Wartungsfensters neu. Erst durch diesen Neustart wird der heruntergeladene Hotfix installiert.
Nach dem Neustart
Nach dem Neustart kann der Installationsstatus erneut mit
system hotfix list geprüft werden.
High Availability: Reihenfolge beim Neustart beachten
Bei einer HA-Installation müssen beide Firewalls nacheinander neu gestartet werden.
Sophos nennt dafür folgende Reihenfolge:
- Prüfen, ob die Warnmeldung im Control Center sowohl auf dem Primary- als auch auf dem Auxiliary-Gerät angezeigt wird.
- Zuerst das Auxiliary-Gerät neu starten.
- Warten, bis das Auxiliary-Gerät wieder verfügbar ist.
- Anschließend das Primary-Gerät neu starten.
Der Befehl
system hotfix list ist laut Sophos aktuell nur
auf dem Primary-Gerät verfügbar. Die Warnmeldung im Control Center wird
dagegen auf beiden Geräten angezeigt.
HA-Firewalls bei Verwaltung über Sophos Fusion
Wird eine HA-Installation über Sophos Fusion verwaltet, weist Sophos darauf hin, dass auch das Auxiliary-Gerät neu gestartet werden muss.
Nach dem Neustart des Primary-Geräts kann die Warnmeldung im Control Center erneut erscheinen.
Sophos erklärt dies damit, dass das Auxiliary-Gerät beim Failover während des Neustarts vorübergehend die Rolle des aktuellen Primary-Geräts übernimmt.
Warum bleibt „Hotfix: Security updates“ unter SFOS 23.0 leer?
Bei diesem Hotfix wird der Installationsstatus derzeit noch nicht auf der Seite „Hotfix: Security updates“ in der WebAdmin-Oberfläche von SFOS 23.0 angezeigt.
Zur Prüfung soll deshalb aktuell der CLI-Befehl verwendet werden:
system hotfix list
Sophos arbeitet laut Community-Beitrag daran, den Installationsstatus von Hotfixes, die eine manuelle Aktion erfordern, künftig auf dieser Seite darzustellen.
Ergänzende Hinweise aus der Sophos Community
In den Kommentaren zum Sophos-Community-Beitrag finden sich zusätzliche Hinweise von Sophos zur Umsetzung, zum Neustart und zur Überwachung des Hotfixes.
Sophos weist in den Community-Kommentaren darauf hin, dass unter SFOS 23.0 GA eine Benachrichtigungsfunktion vorgesehen ist, mit der Administratoren erkennen können, welche Firewall noch einen Neustart benötigt.
Zum Zeitpunkt des Community-Beitrags wurde die Bereitstellung dieser Funktion für die folgende Woche angekündigt. Weitere Informationen sollen veröffentlicht werden, sobald die Benachrichtigungsfunktion verfügbar ist.
Neustarts mehrerer Firewalls automatisieren
Für Umgebungen mit mehreren Sophos Firewalls weist Sophos in den Kommentaren außerdem auf die Möglichkeit hin, den notwendigen Neustart automatisiert zu planen.
Dazu wird auf eine Sophos-Community-Anleitung zum geplanten Neustart einer Firewall verwiesen.
Sophos Community: Schedule Task Restart on Sophos FirewallSecure by Design und kontinuierliche Überwachung
Auf die Frage eines Community-Mitglieds nach einer möglichen Ausnutzung der Schwachstelle verweist Sophos in den Community-Kommentaren auf den Secure-by-Design-Ansatz.
Nach Angaben von Sophos wird die Installationsbasis kontinuierlich überwacht. Die Erkenntnisse zu CVE-2026-98432 werden im offiziellen Sophos Security Advisory dokumentiert.
Hintergrund zum Sicherheitsansatz von Sophos Sophos Security Advisory
Aktuelle Erkenntnisse zu CVE-2026-98432
Checkliste für Administratoren
- Aktuelle SFOS-Version geprüft
- Geprüft, ob der Hotfix für die eingesetzte Version verfügbar ist
- Bei Upgradebedarf SFOS 22.0 MR3 oder SFOS 23.0 GA eingeplant
- Automatische Hotfix-Installation geprüft
- Hotfix im Control Center oder über die CLI verfügbar
- Hotfix-Status vor dem Neustart geprüft
- Wartungsfenster für den Neustart eingeplant
- Firewall neu gestartet
system hotfix listnach dem Neustart erneut geprüft- HF110626.1 mit Status Installed bestätigt
- Bei HA zuerst Auxiliary und anschließend Primary neu gestartet
- Bei Verwaltung über Sophos Fusion auch das Auxiliary-Gerät berücksichtigt
- Bei vorhandenen SD-RED 20 / 60 Firmware 3.0.012 geprüft und installiert
Fazit: Hotfix prüfen und Neustart einplanen
Sophos stellt für CVE-2026-98432 aktuell einen Hotfix für SFOS 23.0 GA, SFOS 23.0 EAP1 und SFOS 22.0 MR3 bereit.
Systeme auf anderen Versionen sollten auf eine von Sophos unterstützte Version aktualisiert werden. Genannt werden dafür SFOS 22.0 MR3 oder SFOS 23.0 GA.
Ist die automatische Hotfix-Installation aktiv, wird der Hotfix automatisch heruntergeladen. Entscheidend ist anschließend der Neustart der Firewall, da der Hotfix erst dadurch installiert wird.
Bei HA-Systemen sollte die von Sophos beschriebene Reihenfolge eingehalten werden: zuerst das Auxiliary-Gerät und anschließend das Primary-Gerät.
Mit system hotfix list lässt sich sowohl vor als auch nach dem
Neustart kontrollieren, ob der Hotfix zur Installation bereitsteht und
anschließend erfolgreich installiert wurde.
SD-RED 20 und SD-RED 60
Auch für SD-RED 20 und SD-RED 60 steht im Zusammenhang mit CVE-2026-98432 eine aktualisierte Firmware zur Verfügung.
| Produkt | Firmware / Fix | Veröffentlichung |
|---|---|---|
| SD-RED 20 / SD-RED 60 | Firmware 3.0.012 über das Firmware-Pattern der Sophos Firewall | 5. November 2026 |
Das Firmware-Pattern 3.0.012 wird über die Sophos Firewall bereitgestellt. Öffnen Sie dazu in der WebAdmin-Oberfläche Backup & Firmware → Pattern Updates.
Wird dort eine ältere SD-RED-Firmware als 3.0.012 angezeigt, kann zunächst Update Pattern Now ausgeführt werden. Anschließend muss die Firmware über Install auf den verbundenen SD-RED-Geräten installiert werden.
Die angeschlossenen SD-RED-Geräte starten während der Firmware-Installation neu. Dies sollte bei der Planung für produktive Standorte berücksichtigt werden.
Der Fix gilt laut Sophos ausschließlich für SD-RED 20 und SD-RED 60. Legacy-RED-Modelle, die bereits ihr End of Life erreicht haben, erhalten diesen Fix nicht.
Das Firmware-Update steht laut Sophos für SFOS 20.0 MR3 und später sowie SFOS 21.0 MR1 und später zur Verfügung.
Unterstützung beim Sophos Firewall Hotfix
Wir prüfen Ihre Systeme, stimmen das Wartungsfenster mit Ihnen ab und spielen den Hotfix ein. Sprechen Sie uns gerne an.
Termin mit unseren Technikern buchen
UTMshop Care – SLA-basierter Fehlersupport für Sophos Firewalls
Quellen
Sophos Firewall: Hotfix for CVE-2026-98432 kernel vulnerability Sophos Security Advisory
Linux Kernel TCP Vulnerability (CVE-2026-98432) Sophos Community
SD-RED Firmware 3.0.012 – Fix für CVE-2026-98432 Sophos: Secure by Design
Weiterführende Informationen zum Secure-by-Design-Ansatz
Kontakt
Zertifizierung:
- Sophos MDR Sales Consultant
- Sophos Firewall Sales Consultant
- Sophos Central Sales Consultant
- Sophos Central Engineer
- Sophos Central Technician
- Sophos Central Architect
- Sophos Firewall Engineer
- Sophos Firewall Technician
- Sophos Firewall Architect