En los dispositivos SonicWall SMA 1000 se ha descubierto una vulnerabilidad crítica CVE-2026-102255, una falsificación de solicitudes del lado del servidor (SSRF) sin autenticación previa. Según el informe original, a la vulnerabilidad se le ha asignado una puntuación CVSS de 10.0, aunque en el momento de la publicación no fue posible obtener una confirmación independiente de esta valoración a través del aviso de seguridad del proveedor o de NVD. SonicWall publicó los parches el 6 de octubre de 2026 y, sin embargo, apenas dos días después aparecieron informes sobre intentos de explotación. Las organizaciones que utilizan SMA 1000 deben instalar las actualizaciones de inmediato: se trata ya de la tercera vulnerabilidad crítica en esta línea de productos en 2026, y las anteriores fueron explotadas activamente por atacantes para penetrar en redes corporativas.
Detalles técnicos de la vulnerabilidad
CVE-2026-102255 pertenece a la clase SSRF (Server-Side Request Forgery), es decir, falsificación de solicitudes del lado del servidor. Su explotación permite a un atacante remoto no autenticado forzar al dispositivo a realizar solicitudes en su nombre, obteniendo acceso a funcionalidades internas y llevando a cabo operaciones no autorizadas. Según el informe original, SonicWall ha publicado el aviso de seguridad SNWLID-2026-0017 y ha lanzado dos parches:
- Versión 12.4.3-03670 (platform-hotfix)
- Versión 12.5.0-03082 (platform-hotfix)
Es importante subrayar que los números de versión concretos y la puntuación CVSS 10.0 solo están confirmados por el informe de noticias original. Se recomienda verificar las actualizaciones aplicables directamente en el aviso de seguridad de SonicWall.
Estado de explotación
El informe original hace referencia a datos de las empresas Defused Cyber y Previdian, que registraron intentos de explotación de CVE-2026-102255 a partir del 8 de octubre de 2026. Se informa de 135 intentos procedentes de dos direcciones IP ubicadas en EE. UU. Sin embargo, estos datos no han recibido confirmación independiente: ni SonicWall, ni CISA, ni grandes empresas de investigación han confirmado por ahora el hecho de explotación activa. CVE-2026-102255 no figura en el catálogo CISA KEV (Known Exploited Vulnerabilities), a diferencia de las dos vulnerabilidades anteriores en el mismo producto. Por lo tanto, en el momento actual es más correcto hablar de intentos de escaneo registrados, y no de compromisos confirmados.
Contexto: ataques anteriores contra SMA 1000
CVE-2026-102255 no es un incidente aislado. Antes, en 2026, otras dos vulnerabilidades en SonicWall SMA 1000 fueron explotadas activamente como vulnerabilidades de día cero:
- CVE-2026-15409 (CVSS 10.0): vulnerabilidad crítica de tipo SSRF que permite a un atacante no autenticado abrir un túnel basado en WebSocket hacia servicios accesibles solo en localhost.
- CVE-2026-15410 (CVSS 7.2): vulnerabilidad de inyección de código que permite la ejecución de comandos con privilegios de root a través del mecanismo remove_hotfix.
Ambas vulnerabilidades fueron descubiertas por el equipo Rapid7 MDR y se incluyeron en el catálogo CISA KEV el 14 de julio de 2026, con fecha límite de corrección el 17 de julio. Ya habíamos escrito anteriormente sobre la explotación de estas vulnerabilidades.
Según Rapid7, tras la compromisión de un dispositivo mediante la cadena CVE-2026-15409 + CVE-2026-15410, los atacantes extraían de forma sistemática credenciales, bases de datos de sesiones activas y configuraciones de semillas TOTP para autenticación multifactor. A continuación se producía el movimiento lateral: los atacantes pasaban del dispositivo comprometido directamente a la red corporativa interna, lo que incluía autenticaciones anómalas en Active Directory sin VPN.
Este contexto es críticamente importante: CVE-2026-102255, siendo también una vulnerabilidad SSRF sin autenticación en el mismo producto, potencialmente abre vectores de ataque similares. Los dispositivos SMA 1000 ya se han consolidado como un objetivo prioritario para atacantes que buscan un acceso inicial sigiloso a redes corporativas.
Productos y versiones afectados
CVE-2026-102255 afecta a los dispositivos de la serie SonicWall SMA 1000. Según Rapid7, en el contexto de las vulnerabilidades anteriores, los modelos afectados son SMA 6210, 7210 y 8200v. Para CVE-2026-15409 y CVE-2026-15410, las versiones de firmware vulnerables fueron:
- 12.4.3-03245, 12.4.3-03387, 12.4.3-03434
- 12.5.0-02283, 12.5.0-02624, 12.5.0-02800
Las versiones corregidas para las vulnerabilidades anteriores fueron 12.4.3-03453 y 12.5.0-02835, respectivamente. Para CVE-2026-102255 se requieren versiones más recientes: 12.4.3-03670 y 12.5.0-03082. No existen soluciones temporales para mitigar la vulnerabilidad sin actualizar.
Recomendaciones
Actualización inmediata: instale las versiones 12.4.3-03670 o 12.5.0-03082 (o posteriores) en todos los dispositivos SMA 1000. Dado el historial de explotación de esta línea de productos, cualquier demora crea un riesgo real de compromisión.
Comprobación de compromiso: siguiendo las recomendaciones de Rapid7 para la cadena de ataques anterior, los administradores deberían comprobar los siguientes indicadores:
- En el archivo
extraweb_access.log: solicitudes awsproxyque devuelvan HTTP 101, con parámetros de host sospechosos al estilo de localhost - En el archivo
ctrl-service.log: llamadas a la utilidadremove_hotfixcon secuencias de salto de directorio que apunten a scripts de terceros
Estos indicadores están diseñados para detectar la explotación de CVE-2026-15409 y CVE-2026-15410 y no son específicos de CVE-2026-102255, pero pueden señalar un compromiso del dispositivo pasado por alto anteriormente.
Medidas posteriores a la explotación: si se detectan indicios de compromiso, es necesario restablecer todas las credenciales almacenadas en el dispositivo, anular las sesiones activas y regenerar las semillas TOTP de MFA, ya que estos fueron precisamente los datos extraídos por los atacantes en ataques anteriores.
Los dispositivos SonicWall SMA 1000 se convierten por tercera vez en 2026 en objeto de vulnerabilidades críticas con explotación confirmada o presunta. Las organizaciones que operan estos dispositivos no solo deben aplicar el parche actual, sino también auditar los registros de los últimos meses en busca de compromisos pasados por alto y evaluar la conveniencia de limitar el acceso directo a la interfaz de administración de SMA 1000 desde internet.
