SonicWall ha lanzado correcciones urgentes para una vulnerabilidad crítica de SSRF (CVE-2026-102255) que afecta a ciertos modelos de la serie SMA1000. Este fallo permitiría a atacantes remotos no autenticados realizar operaciones no autorizadas en la red interna. Aunque no hay evidencia de que se esté explotando actualmente, la empresa insta a los usuarios a actualizar sus equipos debido al historial de ataques contra estos dispositivos.



SonicWall ha publicado correcciones urgentes para solucionar un fallo de falsificación de solicitudes del lado del servidor (SSRF) de severidad máxima en los dispositivos de la serie SMA1000.

Identificada como CVE-2026-102255, la vulnerabilidad se encontró en la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v, pero no afecta a la línea de productos SMA 100 ni al SSL-VPN que se ejecuta en los firewalls de SonicWall.

El fallo se debe a una debilidad en una ruta de acceso alternativa no intencionada que los atacantes remotos sin privilegios pueden explotar mediante ataques de baja complejidad.

"Al abusar de esta ruta, un atacante remoto no autenticado podría potencialmente explotar esta vulnerabilidad para dirigir al dispositivo a emitir solicitudes en su nombre, alcanzar la funcionalidad interna y realizar operaciones no autorizadas", explicó SonicWall.

Aunque aún no ha señalado que estos fallos estén siendo explotados activamente, la empresa instó a los clientes a implementar las correcciones publicadas el martes para bloquear posibles ataques dirigidos a sus dispositivos virtuales o físicos.

"SonicWall recomienda encarecidamente a los usuarios de los dispositivos de la serie SMA1000 que actualicen a la versión de lanzamiento corregida mencionada para solucionar estas vulnerabilidades", añadió la empresa. "Actualmente no hay pruebas de que alguna de las vulnerabilidades abordadas en este lanzamiento esté siendo explotada en entornos reales".

El observatorio de amenazas de seguridad de Internet Shadowserver rastrea actualmente más de 400 dispositivos SMA1000 expuestos a Internet (), aunque algunos ya pueden haber sido parcheados.

Internet-exposed SMA1000 gateways (Shadowserver)

Aunque CVE-2026-102255 no se explota en la naturaleza, los atacantes suelen dirigirse a los fallos de SMA1000 porque afectan a pasarelas de acceso remoto seguro de grado empresarial utilizadas por agencias gubernamentales, Proveedores de Servicios Gestionados (MSSPs) y muchas grandes corporaciones para proporcionar acceso VPN a aplicaciones internas y redes corporativas.

Desde principios de año, los actores de amenazas han explotado varias vulnerabilidades de seguridad de SMA1000 en ataques de día cero.

En julio, dos vulnerabilidades de día cero de SMA1000 (CVE-2026-15409 y CVE-2026-15410) fueron explotadas durante semanas para instalar malware personalizado Sou5, OrangeTail y RootRun en dispositivos VPN vulnerables en ataques que la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) vinculó con bandas de ransomware.

El mes pasado, SonicWall también advirtió a los clientes que los atacantes estaban encadenando dos nuevos días cero (CVE-2026-83548 y CVE-2026-83549) para ejecutar código remoto en pasarelas SMA1000 vulnerables.

CISA ha añadido 19 vulnerabilidades de SonicWall a su lista de fallos explotados activamente () durante los últimos cuatro años, 13 de las cuales también han sido abusadas en ataques de ransomware.

Fuente:
BleepingComputer