SonicWall alerta fallas críticas SMA1000 en ataques zero-day

SonicWall ha advertido sobre la explotación activa de dos vulnerabilidades críticas en sus dispositivos SMA1000, que están siendo utilizadas en ataques zero-day. Estas fallas permiten desde solicitudes remotas no autorizadas hasta ejecución de código con privilegios administrativos, lo que representa un riesgo grave para la seguridad de las redes que utilizan estos equipos.

Por qué importa: La explotación activa de estas vulnerabilidades puede comprometer la integridad y disponibilidad de sistemas empresariales, por lo que la actualización inmediata es esencial para prevenir intrusiones.

Lo esencial

Las vulnerabilidades CVE-2026-15409 y CVE-2026-15410 afectan a modelos SMA1000 6210, 7210 y 8200v.
La primera es una falla crítica SSRF con puntuación CVSS 10.0, la segunda una inyección de código post-autenticación con CVSS 7.2.
SonicWall lanzó parches en las versiones 12.4.3-03453 y 12.5.0-02835 para mitigar estos riesgos.

SonicWall alerta sobre fallas críticas en SMA1000 explotadas en ataques zero-day — Imagen de referencia: BleepingComputer.

Detalles técnicos de las vulnerabilidades

La vulnerabilidad CVE-2026-15409 es una falla de tipo Server-Side Request Forgery (SSRF) que permite a un atacante remoto no autenticado forzar al dispositivo a realizar solicitudes a ubicaciones no previstas, lo que puede facilitar ataques internos o el acceso a recursos restringidos. Esta falla tiene una puntuación máxima de 10.0 en la escala CVSS, reflejando su gravedad.

Por otro lado, CVE-2026-15410 es una vulnerabilidad de inyección de código que requiere privilegios de administrador autenticado. A pesar de esta restricción, SonicWall asignó a esta falla una puntuación global de 10.0 debido a su potencial impacto, ya que permite ejecutar comandos arbitrarios en el sistema operativo del dispositivo.

Impacto y confirmación de explotación activa

SonicWall confirmó que ambas vulnerabilidades están siendo explotadas activamente en incidentes reportados, aunque no se ha detallado si los atacantes combinan ambas fallas en cadenas de ataque. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) ha incluido estas vulnerabilidades en su catálogo de vulnerabilidades conocidas explotadas (KEV), lo que subraya la urgencia de aplicar las correcciones.

Indicadores de compromiso y recomendaciones para administradores

La compañía proporcionó indicadores de compromiso (IOCs) para ayudar a los administradores a detectar posibles intrusiones, como solicitudes sospechosas en los registros extraweb_access.log y ctrl-service.log, o configuraciones anómalas en archivos de rutas no legítimas. SonicWall recomienda actualizar inmediatamente a las versiones con hotfix y, en caso de compromisos confirmados, reimager los dispositivos físicos o reinstalar los virtuales, además de cambiar todas las credenciales y restablecer tokens de autenticación TOTP.

Preguntas frecuentes sobre vulnerabilidades SMA1000

¿Qué modelos SMA1000 están afectados?

Los modelos afectados son SMA1000 6210, 7210 y 8200v que ejecutan versiones específicas de plataforma-hotfix entre 12.4.3-03245 y 12.5.0-02800.

¿Existen soluciones temporales para estas vulnerabilidades?

No, SonicWall indica que no hay mitigaciones o soluciones alternativas disponibles, por lo que la única forma de protegerse es aplicando los hotfix oficiales.