Volexity ha descubierto una campaña de ataques que aprovecha dos vulnerabilidades zero-day en los dispositivos VPN SonicWall SMA 1000, permitiendo a atacantes obtener acceso root antes de que existieran parches oficiales. La explotación activa comenzó el 22 de junio de 2026, afectando a organizaciones que utilizan estos appliances para conexiones seguras.
Por qué importa: La combinación de dos fallos críticos con puntuaciones CVSS de 10.0 y 7.2 permitió a los atacantes comprometer dispositivos VPN clave, poniendo en riesgo la seguridad de las redes corporativas.
Lo esencial
- Dos vulnerabilidades zero-day, CVE-2026-15409 y CVE-2026-15410, fueron explotadas para obtener acceso root.
- La campaña fue detectada tras investigar un incidente en una organización afectada desde junio de 2026.
- SonicWall lanzó parches esta semana tras confirmar la explotación activa de estas fallas.
Detalles de las vulnerabilidades y su explotación
Las vulnerabilidades afectan a la serie SonicWall SMA 1000, dispositivos VPN usados para acceso remoto seguro. La primera, CVE-2026-15409, tiene una puntuación CVSS máxima de 10.0, indicando un fallo crítico que permite ejecución remota de código con privilegios elevados. La segunda, CVE-2026-15410, con puntuación 7.2, complementa la cadena de ataque para lograr el control total del sistema.
El actor de amenazas identificado como UTA0533 encadenó estas vulnerabilidades para escalar privilegios y obtener acceso root en los dispositivos comprometidos. Esta capacidad permite manipular la configuración, interceptar tráfico y potencialmente acceder a redes internas protegidas por la VPN.
