Se ha detectado un aumento considerable en la actividad de escaneo global dirigida a las interfaces de gestión de los firewalls de SonicWall. Según la firma de inteligencia GreyNoise, se observó un incremento significativo en el escaneo de las APIs de gestión de SonicOS entre el 9 y el 18 de mayo de 2026, lo que sugiere una posible fase de reconocimiento previa a la explotación de nuevas vulnerabilidades.

Se ha detectado un fuerte aumento en la actividad de escaneo en todo internet dirigido a las interfaces de gestión de firewalls de SonicWall, lo que genera preocupación sobre una posible fase de reconocimiento previa a la divulgación de nuevas vulnerabilidades.

La firma de inteligencia de amenazas GreyNoise informó de un aumento significativo en el escaneo de las API de gestión de SonicWall SonicOS entre el 9 y el 18 de mayo de 2026.

El pico más notable ocurrió el 12 de mayo, cuando se registraron aproximadamente 597.000 sesiones en un solo día.

Esto representa un incremento de aproximadamente 46 veces en comparación con la actividad diaria promedio observada durante los 30 días anteriores.

Esto marca el volumen diario más alto registrado en la etiqueta del Escáner de API de SonicWall SonicOS en los últimos 90 días, lo que indica un reconocimiento coordinado y a gran escala dirigido a interfaces de firewall expuestas.

Escanean los firewalls de SonicWall

Los investigadores de GreyNoise destacan que un pico similar a principios de año precedió a la divulgación de la CVE-2026-0400, una vulnerabilidad de SonicWall revelada el 24 de febrero de 2026.

Cabe destacar que los picos del 18 de enero, 30 de enero y 14 de febrero ocurrieron 37, 25 y 10 días antes de dicha divulgación, respectivamente.

Aunque esta correlación no confirma una nueva vulnerabilidad, refleja un patrón recurrente en el que los actores de amenazas aumentan la actividad de sondeo antes de la divulgación pública o las campañas de explotación.

Volumen de sesiones en un solo día en la etiqueta del Escáner de API de SonicWall SonicOS (Fuente: GreyNoise)

GreyNoise enfatiza que el pico actual es una señal, no una predicción, pero puede representar una fase temprana de reconocimiento.

El análisis del tráfico de escaneo de GreyNoise revela herramientas e infraestructura constantes:

• Herramientas: Casi el 99% de las solicitudes utilizan un agente de usuario Chrome 119 en Linux x86_64, coincidiendo con campañas anteriores donde el 94,5% del tráfico utilizaba la misma huella digital.
• Infraestructura de origen: Alrededor del 56% del tráfico proviene de redes en los Países Bajos y el 44% de Ucrania, lo que representa más del 99% de las sesiones observadas.
• Concentración de ASN: Un solo sistema autónomo (AS211736) contribuye con aproximadamente la mitad del volumen total de escaneo.
• Servicios objetivo: Los puertos 80 y 8080 (HTTP) son los objetivos casi exclusivos, lo que indica un enfoque en las interfaces de gestión basadas en web.
• Clasificación: La mayoría de las IP de origen están categorizadas como sospechosas por GreyNoise.

Si utilizas dispositivos SonicWall, tu equipo de seguridad debe tomar precauciones inmediatas para reducir la exposición y prepararse para posibles intentos de explotación:

Acciones inmediatas:

• Restringe la API de gestión de SonicOS y el acceso SSL VPN solo a rangos de IP confiables.
• Elimina la exposición pública de las interfaces de gestión del firewall.
• Implementa la autenticación de múltiples factores (MFA) para todos los usuarios de SSL VPN.
• Audita tus sistemas en busca de cuentas administrativas no autorizadas creadas después del 1 de mayo de 2026.
• Despliega listas negras de IP dinámicas para filtrar fuentes sospechosas conocidas.

Monitoreo a corto plazo:

• Sigue los avisos de PSIRT de SonicWall para cualquier nueva divulgación de vulnerabilidades.
• Prepárate para aplicar parches dentro de las 24 horas posteriores a su lanzamiento.
• Aumenta la retención de registros y activa alertas para actividades inusuales de salida.

Aunque no se ha confirmado ninguna vulnerabilidad nueva, la escala y el patrón de esta actividad sugieren que debes tratar este pico como una señal de advertencia temprana.

El endurecimiento proactivo, el monitoreo continuo y la preparación para un parcheo rápido siguen siendo fundamentales para mitigar los riesgos potenciales asociados con la exposición de la infraestructura de SonicWall.