SonicWall confirmó que dos vulnerabilidades críticas en sus dispositivos SMA1000 Secure Mobile Access fueron explotadas como zero-days durante semanas, permitiendo a atacantes instalar malware personalizado en equipos afectados. Estas fallas afectan a los modelos 6210, 7210 y 8200v, y fueron reportadas públicamente tras la detección de ataques activos.
Por qué importa: La explotación de estas vulnerabilidades compromete la seguridad de dispositivos VPN esenciales para el acceso remoto seguro, poniendo en riesgo la integridad de redes corporativas.
Lo esencial
- Las vulnerabilidades CVE-2026-15409 (SSRF) y CVE-2026-15410 (inyección de comandos) afectan a dispositivos SonicWall SMA1000.
- El actor de amenazas UTA0533 explotó estas fallas desde al menos el 22 de junio de 2026.
- Se instaló malware personalizado llamado KNUCKLEBALL, que despliega dos familias adicionales: Sou5 y ORANGETAIL.
Cadena de explotación detallada por Volexity
La firma de respuesta a incidentes Volexity, que colaboró con SonicWall en la investigación, reveló que el ataque inicia con la explotación de la vulnerabilidad SSRF (CVE-2026-15409) en el endpoint /wsproxy. Esto permitió a los atacantes crear túneles WebSocket no autenticados hacia servicios internos, incluyendo CouchDB y el servicio de gestión del dispositivo.
Con acceso a CouchDB, los atacantes obtuvieron el product_uuid del dispositivo, un dato necesario para la siguiente etapa. Luego, explotaron la vulnerabilidad de inyección de comandos (CVE-2026-15410) a través del método RPC sysCtrl.execRemoveHotfix, logrando ejecutar comandos con privilegios root.
