SonicWall SMA1000: SSRF sin autenticación CVE-2026-102255

SonicWall ha publicado las correcciones de cuatro vulnerabilidades de los equipos SMA1000, las pasarelas de acceso remoto SSL VPN de la serie Secure Mobile Access 1000. La más grave, CVE-2026-102255, tiene la puntuación CVSS máxima, 10.0: es una vulnerabilidad de tipo SSRF (server-side request forgery) explotable sin autenticación a través de la interfaz Work Place, el portal al que se conectan los usuarios.

Según SonicWall, por ahora no hay pruebas de explotación. Tampoco existe una solución alternativa: la única defensa es instalar la actualización.

Qué ha pasado

En la interfaz Work Place existe una vía de acceso alternativa no prevista. Abusando de ella, un atacante remoto sin credenciales puede hacer que el equipo envíe peticiones en su nombre: así alcanza funciones internas del SMA1000 y realiza operaciones no autorizadas. No hace falta ninguna interacción por parte de un usuario.

La puntuación 10.0 refleja precisamente esto: ataque por red, baja complejidad, ningún privilegio necesario y, como observa un analista citado por CSO Online, efectos que van más allá del componente vulnerable (el cambio de scope en la métrica CVSS). Una pasarela VPN está autorizada por naturaleza a comunicarse con la red interna, y una SSRF en este tipo de equipo se aprovecha justamente de esa confianza.

Junto con la CVE-2026-102255, SonicWall ha corregido otras tres vulnerabilidades, todas explotables solo por un usuario autenticado.

Detalles técnicos

• CVE-2026-102255, CVSS 10.0: SSRF previa a la autenticación en la interfaz Work Place, debida a una vía de acceso alternativa no prevista.
• CVE-2026-102256, CVSS 7.8: inyección de comandos del sistema operativo. Security Affairs la describe como explotable por un administrador autenticado; CSO Online habla de un atacante remoto autenticado que puede obtener privilegios de administrador y ejecutar comandos arbitrarios.
• CVE-2026-102257, CVSS 7.2: vulnerabilidad de tipo Zip Slip (path traversal al extraer un archivo comprimido) en la Appliance Management Console; permite escribir archivos fuera de la carpeta prevista y llegar a la ejecución remota de código.
• CVE-2026-102258, CVSS 5.5: cross-site scripting almacenado en la consola de gestión, explotable por un usuario autenticado.
• Modelos afectados: SMA1000 6210, 7210 y 8200v.
• Versiones afectadas: 12.4.3-03526 (platform-hotfix) y anteriores; 12.5.0-02952 (platform-hotfix) y anteriores.
• Versiones corregidas: 12.4.3-03670 y 12.5.0-03082 o posteriores, descargables desde el portal MySonicWall.
• No afectados: la SSL VPN de los cortafuegos SonicWall y la serie SMA 100.
• Explotación: ninguna prueba por ahora, según SonicWall.
• MITRE ATT&CK: una posible explotación de la CVE-2026-102255 correspondería a T1190 (Exploit Public-Facing Application).

El contexto: otra vulnerabilidad crítica en pocos meses

No es la primera vulnerabilidad grave de los SMA1000 este año. En septiembre SonicWall corrigió CVE-2026-83548 (CVSS 10.0) y CVE-2026-83549 (CVSS 7.8) tras confirmar su explotación activa; según Security Affairs, los atacantes probablemente las encadenaban para llegar a la ejecución de código arbitrario. CSO Online recuerda además la CVE-2026-15409, también con CVSS 10, explotada como día cero en julio.

Hay además un detalle práctico, subrayado por el analista citado por CSO Online: las versiones indicadas como vulnerables, 12.4.3-03526 y 12.5.0-02952, son las mismas que corregían las vulnerabilidades de septiembre. Si actualizaste el mes pasado, tienes que volver a actualizar.

Impacto para las empresas europeas e italianas

Los SMA1000 los usan empresas medianas y grandes, proveedores de servicios de seguridad gestionados y organismos públicos para dar acceso remoto a la red interna. Están en el perímetro y tienen que llegar a los sistemas internos: eso es lo que los convierte en un objetivo atractivo. Según CSO Online, en los últimos cuatro años la CISA ha añadido 19 vulnerabilidades de SonicWall a su catálogo de vulnerabilidades explotadas, 13 de ellas usadas en ataques de ransomware.

Para las entidades sujetas a la NIS2, la gestión rápida de las vulnerabilidades de los sistemas expuestos forma parte de las medidas de seguridad exigidas; si aparecieran indicios de compromiso, el incidente debe evaluarse para su notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN; en España, el CSIRT de referencia que corresponda). En la sanidad, los accesos remotos del personal y de los proveedores pasan a menudo por pasarelas de este tipo, y un equipo comprometido acerca al atacante a los sistemas que tratan datos clínicos.

Qué hacer ahora

1. Inventario: localiza todos los SMA1000, físicos y virtuales, y comprueba la versión completa instalada en cada uno, no solo la rama.
2. Actualiza: lleva la rama 12.4.3 a la 12.4.3-03670 y la rama 12.5.0 a la 12.5.0-03082, o a versiones posteriores. No hay alternativas a la actualización.
3. Reduce la exposición: donde sea posible, no dejes la consola de gestión ni la interfaz Work Place accesibles desde todo Internet, como aconseja el analista citado por CSO Online.
4. Revisa los registros: busca peticiones anómalas hacia la interfaz Work Place y conexiones del SMA1000 hacia sistemas internos con los que normalmente no se comunica.
5. Si el equipo estuvo expuesto y sin actualizar en julio o septiembre: considera la actualización el comienzo de una investigación, no el final. Tras los incidentes anteriores, SonicWall indicó reinstalar el equipo, cambiar las contraseñas y restablecer los códigos TOTP de la autenticación de dos factores; según CSO Online, estas indicaciones siguen siendo válidas.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a saber si un portal de acceso remoto o una consola de gestión son accesibles desde fuera. ARX Sentry reúne en un punto central los registros de cortafuegos, servidores y ordenadores, para que las conexiones anómalas hacia y desde la pasarela queden a la vista de los analistas. Con ARX Horizon consultas desde el portal los detalles de las vulnerabilidades.

Última actualización: 8 de octubre de 2026