Qué pasó
El 6 de octubre de 2026, SonicWall publicó correcciones para cuatro fallos en sus pasarelas de acceso remoto SMA1000. El más grave, CVE-2026-102255, tiene CVSS 10,0: un SSRF sin autenticación en la interfaz Appliance Work Place. SonicWall dijo entonces no tener pruebas de explotación.
El 9 de octubre, Ryan Dewhurst, fundador de Previdian, dijo a BleepingComputer que sus honeypots detectaron intentos de explotación; según ctipilot, 135 intentos desde dos direcciones entre el 9 y el 10.
Estado: intentos observados, pero ningún compromiso confirmado a 10 de octubre; CISA aún no lo había añadido al KEV.
Cómo funciona
Las peticiones observadas enviaban un OPTIONS a la interfaz Extraweb para llegar al CouchDB interno (127.0.0.1:5984) e invocar _rewrite con admin:admin. Denis Calderone (Suzu Labs) recordó a SC Media que ya existe un módulo público de Metasploit de la cadena de septiembre que convierte acceso a CouchDB en ejecución de código como root.
Tercera vez en 2026
Julio (CVE-2026-15409/15410, malware y ransomware), septiembre (CVE-2026-83548/83549) y ahora octubre. Según Calderone, el firmware de septiembre es justo el vulnerable.
Afectados
SMA 6210, 7210 y 8200v; no la serie SMA 100 ni el SSL-VPN de los firewalls. Shadowserver ve más de 400 SMA1000 expuestos.
Qué hacer
- Actualice a 12.4.3-03670 o 12.5.0-03082; no hay alternativa.
- Ventana de mantenimiento: reinicia y corta las VPN; no lo aplique a través de la VPN.
- Restrinja la interfaz de gestión.
- Busque accesos anómalos al CouchDB interno; no hay IOC oficiales.
- Pregunte a su MSP hoy.
- Considere ZTNA como alternativa.
Fuentes
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
¿Usa VPN SonicWall u otra pasarela de acceso remoto? KGA IT ofrece una consulta gratuita: kga-it.com.