SonicWall ha corregido cuatro vulnerabilidades en sus dispositivos Secure Mobile Access (SMA) serie 1000, destacando una falla crítica de solicitud de falsificación del lado del servidor (SSRF) con una puntuación CVSS máxima de 10.0. Este error permitiría que un atacante remoto, sin necesidad de credenciales válidas, obligue al dispositivo a enviar solicitudes en su nombre para acceder a funciones internas y realizar operaciones no autorizadas.

SonicWall ha parcheado cuatro vulnerabilidades en sus dispositivos Secure Mobile Access (SMA) Serie 1000, incluyendo un fallo crítico de falsificación de petición del lado del servidor (SSRF) con una puntuación CVSS máxima de 10.0.

El error podría permitir que un atacante remoto sin credenciales válidas haga que el dispositivo envíe peticiones en su nombre, acceda a funciones internas y realice operaciones no autorizadas.

La empresa publicó el aviso de seguridad SNWLID-2026-0017 el 6 de octubre de 2026. SonicWall afirmó que actualmente no tiene pruebas de que ninguna de estas cuatro vulnerabilidades esté siendo explotada en entornos reales. Sin embargo, te recomienda encarecidamente que, si eres un cliente afectado, instales las versiones de software corregidas. Las actualizaciones cubren los dispositivos físicos y virtuales SMA 6210, SMA 7210 y SMA 8200v.

SSRF Crítico de Pre-autenticación

Rastreado como CVE-2026-102255, el fallo más grave afecta a la interfaz WorkPlace del dispositivo SMA1000. Se deriva de una ruta de acceso alternativa no prevista que permite que el dispositivo actúe como un proxy directo.

Un atacante podría abusar de esta ruta para realizar peticiones a través del dispositivo en lugar de conectarse directamente a las funciones internas protegidas.

Esto hace que el problema sea especialmente preocupante porque el atacante no necesita iniciar sesión ni persuadir a un usuario para que realice ninguna acción. Su vector CVSS describe un ataque accesible por red con baja complejidad y un impacto potencialmente alto en la confidencialidad, integridad y disponibilidad. SonicWall lo clasifica bajo CWE-918 para SSRF y CWE-441 para un proxy no previsto, también llamado "confused deputy".

Fallos de Seguridad Adicionales

El CVE-2026-102256 es una vulnerabilidad de inyección de comandos post-autenticación calificada con 7.8. Bajo condiciones específicas, un administrador autenticado podría ejecutar comandos arbitrarios del sistema operativo, lo que resultaría en la ejecución remota de código. El aviso no establece que este fallo pueda encadenarse con el problema crítico de SSRF.

El CVE-2026-102257, calificado con 7.2, es una vulnerabilidad de "Zip Slip" en la Consola de Gestión del Dispositivo (AMC). Un archivo comprimido especialmente diseñado podría causar que los archivos se extraigan fuera de la carpeta de destino prevista. SonicWall dice que este problema de salto de ruta (path-traversal) puede conducir a la ejecución remota de código.

El cuarto fallo, CVE-2026-102258, es un cross-site scripting (XSS) almacenado en AMC, con una puntuación CVSS de 5.5. Un administrador autenticado podría, bajo condiciones específicas, almacenar y potencialmente ejecutar JavaScript arbitrario en la consola de gestión.

SonicWall dio crédito a Benoît Sevens de Anthropic por informar los fallos de SSRF e inyección de comandos. Brian Mariani informó el problema de Zip Slip a través de la Zero Day Initiative de Trend Micro, rastreado como ZDI-CAN-28924, y recibió crédito a través de DigitalCanion SA por la vulnerabilidad de XSS almacenado.

Versiones Afectadas y Actualizaciones Requeridas

Las versiones afectadas son la 12.4.3-03526 y anteriores, y la 12.5.0-02952 y anteriores. Deberías actualizar al hotfix de plataforma 12.4.3-03670 o posterior, o al 12.5.0-03082 o posterior, dependiendo de tu rama de software. SonicWall proporciona el último hotfix a través de MySonicWall y no enumera ninguna solución temporal para estas vulnerabilidades. Las correcciones actuales solucionan los cuatro problemas en ambas ramas de firmware afectadas.

Los servicios SSL-VPN que se ejecutan en los firewalls de SonicWall y la línea de productos SMA Serie 100 no están afectados. Esta distinción te ayuda a identificar los dispositivos correctos sin tratar cada despliegue de VPN de SonicWall como vulnerable a este aviso.

Anteriormente se cubrieron vulnerabilidades separadas de SMA1000, CVE-2026-83548 y CVE-2026-83549, que SonicWall informó como activamente explotadas en septiembre.

Aquellas correcciones anteriores fueron la 12.4.3-03526 y la 12.5.0-02952, que ahora figuran como afectadas por este nuevo aviso. Por lo tanto, instalar la actualización de septiembre no resuelve los fallos recién revelados de octubre. Deberías comprobar la versión instalada de cada dispositivo comparándola con las últimas versiones corregidas y completar la actualización requerida, en lugar de confiar en un parche anterior como prueba de que el dispositivo sigue protegido.