SonicWall SMA1000: reportan intentos de explotación de una falla de severidad máxima parcheada esta semana

Una vulnerabilidad de severidad máxima en los gateways de acceso remoto SonicWall SMA1000, identificada como CVE-2026-102255, ya recibe intentos de explotación, según un investigador citado por BleepingComputer. El registro de la falla en la National Vulnerability Database (NVD) le asigna un puntaje CVSS v3.1 de 10.0. SonicWall publicó la corrección el martes de esta semana, según ese medio.

La falla afecta la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v. No alcanza a la línea SMA 100 ni al SSL-VPN que corre en los firewalls de SonicWall. Las organizaciones que usan estos equipos deberían aplicar cuanto antes la actualización indicada en el aviso SNWLID-2026-0017 del fabricante. El material disponible no detalla las versiones corregidas, así que hay que consultarlas directamente en ese aviso.

Qué es la vulnerabilidad

Según la descripción publicada en NVD, se trata de una falsificación de solicitudes del lado del servidor (SSRF) que no requiere autenticación. Su origen es una ruta de acceso alternativa no prevista en la interfaz WorkPlace. Un atacante remoto sin credenciales podría abusar de esa ruta para que el equipo emita solicitudes en su nombre, llegue a funciones internas y realice operaciones no autorizadas.

La combinación de acceso remoto, ausencia de autenticación y un equipo que suele estar expuesto a internet explica el puntaje máximo.

Qué se sabe sobre la explotación

El estado de la explotación todavía no está confirmado de forma oficial:

• SonicWall no señaló la vulnerabilidad como explotada activamente en su aviso del martes, según BleepingComputer.
• CISA no la incluye por ahora en su catálogo de vulnerabilidades explotadas conocidas (KEV), según indica el registro de NVD.
• Ryan Dewhurst, fundador de Previdian, dijo a BleepingComputer que la red de honeypots de su empresa detectó intentos coherentes con esta falla, dirigidos a la interfaz WorkPlace. Aclaró que Previdian aún no determinó si esos intentos habrían logrado comprometer algún sistema.

Dewhurst también señaló que la interfaz afectada es la misma que apuntaban otras fallas SSRF divulgadas en julio y septiembre de 2026, aunque la técnica de explotación de esta nueva vulnerabilidad es diferente.

La organización Shadowserver registra más de 400 equipos SMA1000 expuestos en internet. No se sabe cuántos son honeypots ni cuántos ya tienen el parche.

Un producto que ya fue blanco de ataques este año

Los SMA1000 son gateways de acceso remoto seguro de nivel empresarial. Según BleepingComputer, los usan proveedores de servicios gestionados, grandes corporaciones y organismos de gobierno para dar acceso VPN a aplicaciones y redes internas. Ese perfil los convierte en un blanco frecuente.

El medio repasa los antecedentes recientes:

• En julio, atacantes aprovecharon durante semanas dos fallas de día cero (CVE-2026-15409 y CVE-2026-15410) para instalar los malware Sou5, OrangeTail y RootRun en equipos vulnerables. CISA vinculó luego parte de esos ataques con bandas de ransomware.
• En septiembre, SonicWall advirtió que se encadenaban otras dos fallas de día cero (CVE-2026-83548 y CVE-2026-83549) para ejecutar código de forma remota en estos gateways.
• En los últimos cuatro años, CISA agregó 19 vulnerabilidades de SonicWall a su catálogo KEV, y marcó 13 de ellas como usadas por grupos de ransomware.

Por qué importa en Latinoamérica

El material no incluye cifras de equipos SMA1000 instalados o expuestos en países de la región. El panel de Shadowserver permite agrupar los datos por geografía, pero esos números no forman parte de las fuentes de esta nota.

Aun sin cifras, el riesgo es concreto. El perfil de usuarios que describe BleepingComputer coincide con organizaciones habituales en la región: bancos y aseguradoras, empresas medianas y grandes con personal remoto, proveedores de servicios gestionados que administran la infraestructura de varios clientes y organismos públicos. Un proveedor de servicios comprometido puede afectar a varias organizaciones a la vez.

Las campañas de este año, algunas vinculadas con ransomware, muestran que estos gateways se atacan rápido después de cada divulgación.

Qué conviene hacer

• Verificar si la organización tiene equipos SMA1000 de los modelos 6210, 7210 u 8200v y si la interfaz WorkPlace está expuesta a internet.
• Actualizar de inmediato según el aviso de SonicWall.
• Reducir la exposición de la interfaz de administración y de WorkPlace mientras se aplica el parche, como medida general de higiene.
• Revisar registros en busca de solicitudes inusuales hacia la interfaz WorkPlace. Dado el historial de ataques contra este producto, también conviene buscar señales de compromisos previos.
• Seguir el aviso del fabricante y el catálogo KEV de CISA por si se confirma la explotación activa.