La cadena de fallos de SonicWall SMA1000 está vencida en la lista de CISA

El aviso PSIRT de SonicWall SNWLID-2026-0016 cubre dos vulnerabilidades en los dispositivos de acceso remoto seguro SMA1000 que el fabricante confirma que están siendo explotadas activamente. Ambas, CVE-2026-83548 y CVE-2026-83549, figuran en el catálogo de vulnerabilidades conocidas explotadas de CISA, y el plazo federal de corrección del 5 de septiembre ya ha vencido.

Cómo se encadenan los dos fallos

CVE-2026-83548 (CVSS 10.0) es una falsificación de peticiones del lado del servidor previa a la autenticación en la interfaz Work Place de SMA1000: la interfaz expone una ruta de acceso no prevista que permite que el dispositivo actúe como proxy de reenvío, de modo que un atacante remoto no autenticado puede alcanzar funcionalidades internas que no deberían ser accesibles desde el exterior. CVE-2026-83549 (CVSS 7.8) es un fallo de inyección de comandos del sistema operativo en la Appliance Management Console que normalmente requeriría una sesión de administrador autenticado. Encadenados, el fallo SSRF lleva al atacante hasta el punto en el que el fallo de inyección de comandos puede activarse sin credenciales, lo que da lugar a una ejecución remota de código no autenticada en dispositivos expuestos a internet. Según los informes de Rapid7 y Sophos, en el momento de la publicación no se habían identificado pruebas de concepto públicas, indicadores de compromiso ni atribución, incluso cuando SonicWall confirma que se está produciendo explotación.

Modelos afectados y corrección

Los fallos afectan a los dispositivos SMA 6210, 7210 y 8200v con firmware 12.4.3-03453 o anterior, y 12.5.0-02835 o anterior. Los hotfixes corregidos de SonicWall son 12.4.3-03526 y 12.5.0-02952; la SSL VPN de los cortafuegos SonicWall y la serie SMA 100 independiente no se ven afectadas.

Qué hacer

• Haga un inventario de cada despliegue de SMA1000, físico y virtual, en todos los tenants, registrando la versión de firmware y la exposición a internet.
• Actualice de inmediato a la compilación del hotfix corregido; no se trata de una situación en la que baste una solución provisional y esperar, dada la explotación confirmada.
• Cuando no sea posible una actualización inmediata, reduzca la exposición de la interfaz Work Place como medida provisional, no como sustituto del parcheo.
• Si se encuentran indicadores de compromiso, la propia guía de SonicWall es recrear la imagen de los dispositivos físicos o redesplegar los virtuales desde cero, cambiar todas las contraseñas de usuarios y administradores y restablecer los tokens TOTP.

El plazo del 5 de septiembre de CISA es vinculante específicamente para las agencias civiles federales de EE. UU., pero, dada la propia confirmación de SonicWall de explotación activa, todo operador que utilice SMA1000 debería tratarlo como un parche de prioridad inmediata y no como una tarea de mantenimiento programada.

Fuentes: aviso de producto de SonicWall, Rapid7, Sophos.