SonicWall ha emitido un aviso de seguridad urgente sobre dos vulnerabilidades que afectan a sus dispositivos de la serie SMA1000. La empresa advierte que atacantes están explotando activamente estos fallos en ataques reales. El problema más grave, identificado como CVE-2026-15409, tiene una puntuación de severidad CVSS máxima de 10.0 y puede ser explotado de forma remota sin requerir autenticación.

SonicWall ha emitido un aviso de seguridad urgente sobre dos vulnerabilidades que afectan a sus dispositivos de la serie SMA1000. La empresa advierte que los atacantes están explotando activamente estos fallos en ataques reales.

El problema más crítico, identificado como CVE-2026-15409, tiene una puntuación de gravedad CVSS máxima de 10.0 y puede explotarse remotamente sin requerir autenticación.

Las vulnerabilidades afectan a los modelos SonicWall SMA1000 6210, 7210 y 8200, específicamente a aquellos que ejecutan ciertas versiones de los lanzamientos platform-hotfix 12.4.3 y 12.5.0.

Vulnerabilidades 0-Day de SonicWall Firewall

SonicWall aclaró que estos fallos no afectan a los servicios SSL-VPN en sus productos de firewall ni a la línea de dispositivos SMA 100. CVE-2026-15409 es una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) encontrada en la interfaz SMA1000 Workplace.

Un atacante remoto no autenticado podría explotar este fallo para forzar a un dispositivo vulnerable a enviar solicitudes a ubicaciones internas o externas no deseadas.

Las vulnerabilidades SSRF pueden permitir a los atacantes acceder a servicios que normalmente no son accesibles desde internet, sondear recursos de la red interna o facilitar una mayor intrusión.

El segundo problema, CVE-2026-15410, es una vulnerabilidad de inyección de código posterior a la autenticación dentro de la Consola de Gestión de Dispositivos SMA1000, que tiene una puntuación CVSS de 7.2.

Bajo ciertas condiciones, un administrador autenticado podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios del sistema operativo en el dispositivo.

Aunque este fallo requiere acceso de nivel de administrador, podría darle a un atacante el control total sobre el sistema afectado si obtiene las credenciales o compromete una sesión administrativa.

El Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) de SonicWall ha investigado múltiples incidentes que implican la explotación activa de estas vulnerabilidades.

Aunque la empresa no reveló detalles técnicos sobre los actores de la amenaza o los ataques específicos, te insta encarecidamente a que instales el hotfix disponible inmediatamente, ya que actualmente no existe una solución alternativa.

Si utilizas los dispositivos afectados, debes actualizar tus equipos SMA1000 a la versión de platform-hotfix 12.4.3-0345 o posterior para la rama 12.4.3, o a la versión 12.5.0-0283 o posterior para la rama 12.5.0. Puedes acceder al hotfix a través del portal de clientes MySonicWall.

También deberías revisar los registros del dispositivo y los archivos de configuración en busca de signos de explotación. SonicWall identificó solicitudes sospechosas a /api/login o /api/logout que devuelven respuestas HTTP 200 en extraweb_access.log como posibles indicadores de compromiso.

Las solicitudes a /wsproxy con parámetros de host sospechosos que devuelven respuestas HTTP 101 también pueden significar actividad maliciosa. Otras señales de advertencia incluyen entradas de reversión de hotfix con nombres similares a saltos de ruta (path traversal) en ctrl-service.log.

Debes inspeccionar /var/lib/unit/conf.json en busca de rutas que involucren /api/login o /api/logout, ya que estas rutas no pertenecen a configuraciones legítimas de SMA1000.

Si encuentras cualquier evidencia de compromiso, SonicWall recomienda reinstalar la imagen de los dispositivos de hardware afectados o volver a desplegar los dispositivos virtuales.

Tu organización también debería restablecer todas las contraseñas de usuarios y administradores, así como restablecer los tokens de contraseña temporales basados en tiempo (TOTP) para invalidar las credenciales de autenticación potencialmente robadas.

SonicWall acreditó al investigador de PSIRT Adam Babis por informar las vulnerabilidades y agradeció a Sean Koessel y Steven Adair de Volexity por ayudar en la investigación y colaborar en la identificación de un indicador de compromiso adicional.