Atacantes sondean el fallo CVSS 10.0 de las pasarelas SonicWall SMA1000 tras el parche, sin víctimas confirmadas

Qué ha pasado

SonicWall publicó el 6 de octubre hotfixes para cuatro vulnerabilidades de sus pasarelas de acceso remoto SMA1000, agrupadas en el aviso SNWLID-2026-0017. La más grave, CVE-2026-102255, es una falsificación de peticiones del lado del servidor (SSRF) que no exige autenticación. Según el aviso del Centro de Ciberseguridad de Bélgica (CCB), que cita al fabricante, una ruta de acceso alternativa no prevista en la interfaz Work Place convierte el equipo en un proxy de reenvío: un atacante sin credenciales puede hacer que la pasarela envíe peticiones en su nombre y alcance funciones internas. Su puntuación es la máxima, CVSS 10.0.

Al publicar el aviso, SonicWall afirmó que no tenía pruebas de explotación, como recogió Help Net Security. Dos días después, las empresas de inteligencia de amenazas Defused y Previdian empezaron a ver tráfico malicioso contra sus señuelos (honeypots). Hasta el 12 de octubre, Previdian había contado 135 intentos desde dos direcciones IP de Estados Unidos, según The Hacker News.

El mismo aviso corrige una inyección de comandos tras autenticarse como administrador (CVE-2026-102256, CVSS 7.8) y un Zip Slip, un salto de directorio al extraer archivos comprimidos, en la consola de gestión AMC (CVE-2026-102257, CVSS 7.2); ambos llevan a ejecución remota de código. El cuarto es un XSS almacenado en la AMC (CVE-2026-102258, CVSS 5.5).

Lo que está confirmado y lo que no

La distinción clave: los ataques observados son contra señuelos, no contra organizaciones reales.

• Confirmado (CCB y SonicWall): afectados los modelos SMA1000 6210, 7210 y 8200v, incluidos los despliegues virtuales, con 12.4.3-03526 o anterior y 12.5.0-02952 o anterior (platform-hotfix). Corregido en 12.4.3-03670 y 12.5.0-03082, según The Hacker News.
• Confirmado (SonicWall, citado por Security Affairs): no afecta al SSL-VPN de los cortafuegos ni a la serie SMA 100, y no hay medida alternativa al hotfix.
• Confirmado (CCB): el 12 de octubre añadió que «muchas fuentes» informan de explotación activa. La autoridad recoge lo que dicen terceros; no confirma ataques por su cuenta.
• No confirmado (Previdian, vía BleepingComputer): intentos coherentes con la CVE en su red de señuelos. Su fundador admite que aún no han determinado si habrían comprometido algún sistema.
• No confirmado (Defused, vía Security Affairs): tráfico SSRF sin autenticar contra sus señuelos desde el 8 de octubre, del que avisó a sus clientes.
• Sin víctimas: ninguna organización ha declarado haber sido comprometida y ninguna autoridad atribuye víctimas. A 13 de octubre, según eSecurity Planet, el aviso de SonicWall seguía diciendo que no había pruebas de explotación.
• Sin atribución: nadie ha vinculado los intentos a un grupo concreto.

Por qué importa

Las SMA1000 están en el borde de la red y las usan medianas y grandes empresas, proveedores de servicios gestionados de seguridad y administraciones públicas, según Help Net Security y BleepingComputer. El CCB advierte de que un atacante podría alcanzar sistemas internos e información sensible, cambiar la configuración o cortar el acceso remoto. SOCRadar matiza que no está demostrado que el SSRF por sí solo permita ejecutar código o comprometer el equipo entero: depende de qué servicios internos alcance.

El historial reciente pesa. En julio, atacantes usaron durante semanas dos zero-days del SMA1000 para instalar malware a medida, y CISA vinculó después parte de esos ataques a bandas de ransomware, según BleepingComputer. En septiembre, SonicWall confirmó la explotación de otro SSRF previo a la autenticación en Work Place, también con CVSS 10.0. Según Previdian, los intentos actuales atacan la misma interfaz con otra técnica.

BleepingComputer recuerda que CISA ha añadido 19 fallos de SonicWall a su catálogo KEV en cuatro años, 13 de ellos usados por ransomware. Shadowserver contabiliza más de 400 SMA1000 expuestos a internet, aunque no se sabe cuántos son señuelos ni cuántos están ya parcheados.

Cronología

Tres tandas de fallos graves en el mismo producto en apenas tres meses.

1. Julio de 2026zero-days CVE-2026-15409 y CVE-2026-15410 explotados durante semanas (BleepingComputer).
2. 1 de septiembreSonicWall publica SNWLID-2026-0016 y confirma la explotación de CVE-2026-83548 y CVE-2026-83549 (Rapid7, Field Effect).
3. 6 de octubreSonicWall publica SNWLID-2026-0017 con los hotfixes y sin pruebas de explotación.
4. 7 de octubreel CCB emite su aviso pidiendo parchear de inmediato.
5. 8 de octubreprimeras señales de tráfico malicioso en los señuelos de Defused y Previdian.
6. 9 de octubreambas empresas lo hacen público y BleepingComputer informa de la explotación.
7. 12 de octubreel CCB añade la nota sobre explotación activa; The Hacker News publica la cifra de 135 intentos.
8. 13 de octubreel aviso de SonicWall sigue sin reconocer explotación, según eSecurity Planet.

Qué pueden hacer las organizaciones

La única corrección es el hotfix. El resto de medidas sirve para detectar si alguien llegó antes.

• Instalar 12.4.3-03670 o 12.5.0-03082 o posteriores desde el portal MySonicWall. El CCB pide hacerlo con máxima prioridad tras probarlos.
• Recordar que parchear no elimina un compromiso anterior, como advierte el CCB: revisar los equipos que estuvieron expuestos.
• Revisar los registros del proxy y del equipo desde el 6 de octubre en busca de peticiones HTTP OPTIONS contra la interfaz WorkPlace y de referencias al servicio CouchDB interno, que según Previdian es el objetivo del SSRF (CISO Platform).
• Buscar peticiones a funciones de reescritura de CouchDB e intentos de autenticación con credenciales por defecto (blog de SOCFortress, fiabilidad media).
• Cruzar los registros con la IP publicada por Previdian, 146.70.143[.]142, indicador de una sola fuente privada.
• Restringir la consola de gestión AMC a redes de administración y reforzar la monitorización. En Bélgica, los incidentes se notifican al CCB.

Qué vigilar ahora

Lo decisivo es si aparece una víctima real. Por ahora nadie ha demostrado que un SMA1000 en producción haya sido comprometido, ni que los atacantes encadenen el SSRF con CVE-2026-102256 o CVE-2026-102257 para ejecutar código. Tampoco consta un exploit público.

Conviene seguir si SonicWall actualiza su aviso para reconocer la explotación y si CISA incorpora la CVE a su catálogo KEV, donde a 14 de octubre no consta su inclusión, aunque no se ha verificado en el catálogo mismo. Queda por saber cuántos de los más de 400 equipos expuestos siguen sin parchear y quién está detrás de los intentos.

Fuentes

• CCB (CERT.be) advisory on SonicWall SMA1000
• SonicWall PSIRT advisory SNWLID-2026-0017
• SonicWall product notice: SMA 1000 multiple vulnerabilities
• BleepingComputer: Max severity SonicWall SMA1000 flaw now exploited
• Security Affairs: SonicWall patches CVSS 10.0 SSRF flaw as attacks begin
• The Hacker News: 135 exploitation attempts against SMA 1000 flaw
• Help Net Security: SonicWall fixes pre-auth SSRF in SMA 1000
• eSecurity Planet: SonicWall flaw targeted two days after disclosure
• SOCRadar: CVE-2026-102255 analysis
• Rapid7: September 2026 SMA1000 zero-days exploited

Vulnerabilidades (8)