SonicWall corrige un fallo SSRF crítico en sus SMA1000

SonicWall ha publicado parches para cuatro vulnerabilidades de sus dispositivos de acceso remoto SMA 1000. La más grave, identificada como CVE-2026-102255, tiene una puntuación CVSS de 10 sobre 10 y podría permitir que un atacante sin autenticar hiciera que el equipo enviase solicitudes hacia funciones internas.

El aviso afecta a los modelos SMA 6210, 7210 y 8200v, tanto físicos como virtuales. SonicWall asegura que, por ahora, no tiene constancia de que se estén explotando estas vulnerabilidades en ataques reales; aun así, recomienda instalar las versiones corregidas cuanto antes.

Qué dispositivos y versiones deben actualizarse

Según el aviso de seguridad de SonicWall, publicado el 5 de octubre y actualizado el 6, están afectadas las versiones 12.4.3-03526 y anteriores, así como 12.5.0-02952 y anteriores. Las correcciones están disponibles en las versiones 12.4.3-03670 y 12.5.0-03082, además de las posteriores.

La vulnerabilidad crítica es de tipo SSRF, siglas en inglés de falsificación de solicitudes del lado del servidor. En este tipo de fallo, un atacante puede inducir a un sistema para que realice solicitudes en su nombre. En este caso, SonicWall indica que el acceso podría llegar a funciones internas del dispositivo y permitir operaciones no autorizadas. La compañía sitúa el problema en la interfaz Appliance WorkPlace y señala que el ataque no requiere autenticación.

El aviso incluye otros tres fallos: una ejecución remota de código (CVE-2026-102256), con CVSS 7,8; un salto de ruta mediante archivos ZIP (CVE-2026-102257), con 7,2; y una vulnerabilidad de secuencias de comandos entre sitios almacenada (CVE-2026-102258), con 5,5. El parche recomendado cubre las cuatro.

La exposición a Internet no confirma que falte el parche

La alerta se limita a la serie SMA 1000: no afecta a los productos SMA 100 Series ni a la función SSL-VPN de los cortafuegos de SonicWall. La firma afirma que no hay pruebas de explotación activa de ninguno de los cuatro fallos, una situación distinta a confirmar que los dispositivos afectados estén protegidos: eso depende de que se haya instalado la actualización.

Un mapa de Shadowserver incluido en la información de BleepingComputer muestra equipos SMA1000 accesibles desde Internet. Esa exposición, por sí sola, no permite saber si cada dispositivo sigue usando una versión vulnerable: algunos pueden estar ya actualizados.

Para las organizaciones que administran estos gateways, el paso inmediato es comprobar modelo y versión de firmware y aplicar el hotfix correspondiente. SonicWall recomienda actualizar tanto los equipos físicos como los virtuales que ejecuten versiones afectadas.