🛡 VULNERABILIDADES 🛡

Falla SSRF de máxima gravedad en dispositivos SonicWall SMA bajo ataque

⏰13 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

Falla SSRF de máxima gravedad en dispositivos SonicWall SMA bajo ataque

⟫ 12/10/2026 ⟫ Rob Wright

Fuente: Dark Reading

**Vulnerabilidad Crítica en el Gateway de Acceso Seguro de SonicWall: Un Llamado a la Acción para los Clientes**

Los clientes de SonicWall se encuentran una vez más en una posición defensiva, ya que los actores de amenazas están explotando activamente una vulnerabilidad de máxima gravedad en el gateway de acceso seguro unificado de este proveedor de ciberseguridad, conocido como Secure Mobile Access (SMA). Este contexto es preocupante no solo para las empresas que dependen de estos dispositivos para garantizar un acceso seguro a sus recursos, sino también para los usuarios finales cuyos datos podrían verse comprometidos.

La vulnerabilidad, catalogada como CVE-2026-102255, es una falla de tipo "server-side request forgery" (SSRF) que afecta a la interfaz WorkPlace del dispositivo SMA 1000 de SonicWall, un portal basado en la web diseñado para usuarios remotos. SonicWall ha asignado una puntuación máxima de 10 sobre 10 en la escala CVSS a esta vulnerabilidad, la cual, según el aviso publicado por la empresa el 6 de octubre, se origina en un "camino de acceso alternativo no intencionado".

Al aprovechar esta ruta, un atacante remoto no autenticado podría explotar esta vulnerabilidad para dirigir al dispositivo a emitir solicitudes en su nombre, accediendo así a funcionalidades internas y realizando operaciones no autorizadas. Este tipo de ataque podría tener repercusiones significativas, dado que permite a los atacantes interactuar con servicios que, de otro modo, no estarían disponibles para el acceso externo.

Pocos días después del aviso de SonicWall, dos empresas de ciberseguridad detectaron actividad de explotación relacionada con CVE-2026-102255 en sus dispositivos honeypot. El 9 de octubre, Previdian, una firma de inteligencia de amenazas cibernéticas, alertó en una publicación en la plataforma social X sobre intentos de explotación en sus sensores. De manera similar, Defused señaló en X que había observado tráfico SSRF no autenticado en los dispositivos de SonicWall SMA, comenzando el día anterior.

SonicWall comunicó la semana pasada que, en ese momento, no había "evidencia actual" de que CVE-2026-102255 o otros tres CVEs divulgados en su aviso hubieran sido explotados en el entorno real. Dark Reading se puso en contacto con SonicWall para obtener comentarios sobre los informes de terceros, pero la empresa no respondió antes del cierre de esta publicación.

Aunque los detalles técnicos específicos de CVE-2026-102255 aún no se han hecho públicos, la puntuación CVSS sugiere que la explotación de la falla podría ser relativamente sencilla. En un blog publicado el lunes, investigadores de SOCRadar señalaron que la explotación exitosa de la vulnerabilidad en los dispositivos SMA 1000 otorgaría al atacante el control de la interfaz WorkPlace. Este dispositivo SMA proporciona acceso SSL VPN, acceso remoto sin cliente y acceso a la red de confianza cero a recursos corporativos desde entornos locales, en la nube y híbridos.

Desde una perspectiva práctica, el gateway expuesto a Internet podría actuar como un proxy para acceder a servicios que normalmente no serían alcanzables desde el exterior. Dado que los dispositivos SMA 1000 generalmente se sitúan entre la Internet pública y las aplicaciones corporativas, así como los servicios de identidad y la infraestructura de red interna, la interfaz WorkPlace se convierte en un objetivo atractivo para los actores de amenazas. "Si la interfaz WorkPlace puede ser abusada para enviar solicitudes internas, un atacante podría interactuar con servicios que nunca se pretendieron que fueran accesibles desde Internet", afirmaron los investigadores de SOCRadar.

En respuesta a esta vulnerabilidad, SonicWall lanzó un hotfix y urgió a sus clientes a aplicarlo a la mayor brevedad posible. La empresa aseguró que los SSL-VPN que operan en sus cortafuegos o en la línea de productos SMA 100 Series no están afectados por CVE-2026-102255 ni por los otros tres CVEs divulgados la semana pasada.

CVE-2026-102255 es la última vulnerabilidad explotada que enfrentan los clientes de SonicWall, quienes ya han tenido que lidiar con múltiples amenazas contra otros productos de la empresa este año. En julio, la banda de ransomware Inc lanzó ataques de día cero que explotaban dos fallos, CVE-2026-15409 y CVE-2026-15410, en los dispositivos de la serie SMA 1000.

Los dispositivos de borde, como los SSL-VPN, se han convertido en objetivos muy populares para una variedad de actores de amenazas en los últimos años. Joe Toomey, vicepresidente de seguridad de suscripción en el asegurador cibernético Coalition, afirma que el riesgo que presentan dichos dispositivos y sus vulnerabilidades frecuentemente explotadas es cuantificable, ya que suelen dar lugar a numerosos reclamos por parte de los clientes de seguros cibernéticos. "Los grandes infractores en este ámbito son en gran medida los dispositivos de frontera de seguridad y los dispositivos de borde. Y los dispositivos SSL VPN son casi uniformemente problemáticos", señala Toomey.

Toomey también indica que el riesgo de los dispositivos de borde heredados se refleja en el modelo de precios del asegurador cibernético, que continuamente se ajusta en función de los datos de reclamos. "Puedo decirte que, tanto a nivel tecnológico como de proveedor, la prima que se te cotizará desde Coalition tiene mucho que ver con lo que vemos expuesto externamente de tu empresa", explica. "Y si estás utilizando un proveedor con el que hemos tenido un historial de reclamos negativo, entonces tu prima será significativamente más alta que si no estuvieras utilizando ese proveedor".

Por último, Toomey recomienda encarecidamente adoptar soluciones de confianza cero y alejarse de los SSL-VPN heredados. "Hay media docena de tecnologías diferentes que podrías adoptar", dice, "todas las cuales te proporcionarían una prima más barata con nosotros y te harían significativamente menos propenso a sufrir un reclamo que si utilizaras cualquiera de estos dispositivos SSL-VPN heredados".

En resumen, la reciente vulnerabilidad en los dispositivos SonicWall SMA 1000 subraya la importancia de una gestión proactiva de la ciberseguridad y la necesidad de adoptar tecnologías más seguras y modernas que mitiguen los riesgos asociados con las soluciones tradicionales.

◢ VULNERABILIDADES ◣

Maximum-Severity SSRF Flaw in SonicWall SMA Devices Under Attack

⟫ 12/10/2026 ⟫ Rob Wright

Source: Dark Reading

SonicWall customers are on the defensive once again, as threat actors are actively exploiting a maximum-severity vulnerability in the cybersecurity vendor's unified secure access gateway, theSecure Mobile Access(SMA) appliance. CVE-2026-102255 is a server-side request forgery (SSRF) flaw in the SonicWall SMA 1000 appliance's WorkPlace interface, a Web-based portal for remote users. The vulnerability, which SonicWall assigned a maximum 10 out of 10CVSSscore, stems from an "unintended alternate access path," according to the vendor's advisory. "By abusing this path, a remote unauthenticated attacker could potentially exploit this vulnerability to direct the appliance to issue requests on their behalf and reach internal functionality and perform unauthorized operations," SonicWall wrote inthe advisory, published Oct. 6. Just a few days later, two cybersecurity vendors flagged exploitation activity for CVE-2026-102255 on their honeypot devices. On Oct. 9, cybersecurity threat intelligence firm Previdianwarnedin a post on the social media platform X that it had observed attempts to exploit its sensors. Similarly, cybersecurity vendor Defusednoted on Xthat it saw unauthenticated SSRF traffic on the company's SonicWall SMA decoys starting the day before. SonicWall said last week that there was "currently no evidence" that CVE-2026-102255 or the three other CVEs disclosed in its advisory had been exploited in the wild. Dark Reading contacted SonicWall for comment on the third-party vendor reports, but the company did not respond at press time. While the technical details of CVE-2026-102255 have not yet been published, the vulnerability's CVSS score suggests the flaw may be trivial to exploit. In ablog poston Monday, SOCRadar researchers noted that successful exploitation of the flaw on SMA 1000 appliances will give an attacker control of the WorkPlace interface. The SMA appliance provides SSL VPN, clientless remote access, and zero-trust network access to corporate resources from on-premises, cloud, and hybrid environments. "In practical terms, the internet-facing gateway can potentially act as a proxy into services that would not normally be reachable externally," SOCRadar researchers wrote. BecauseSMA 1000 devicestypically sit between the public Internet and corporate applications, identity services, and internal network infrastructure, the WorkPlace interface presents an attractive target for threat actors. "If the WorkPlace interface can be abused to send internal requests, an attacker may be able to interact with services that were never intended to be internet-accessible," SOCRadar researchers wrote. SonicWall released a hotfix for the vulnerability and urged customers to apply it as soon as possible. The cybersecurity vendor said SSL-VPNs running on SonicWall firewalls or the SMA 100 Series product line are not affected by CVE-2026-102255 or the other three CVEs disclosed last week. CVE-2026-102255 is the latest exploited vulnerability facing SonicWall customers, who have already had to manage multiple threats against other SonicWall products this year. In July, the Inc ransomware gang launched zero-day attacks exploiting two flaws, CVE-2026-15409 and CVE-2026-15410, in SMA 1000 Series appliances. Edge devices, such as SSL-VPNs, have been highly popular targets for a variety of threat actors in recent years. Joe Toomey, vice president of underwriting security at cyber insurer Coalition, says the risk posed by such devices and their frequently exploited vulnerabilities is quantifiable, as they typically lead to numerous claims from cyber insurance customers. "The big, big offenders in this space are largely security boundary devices and edge devices. And SSL VPN devices are almost uniformly bad," Toomey tells Dark Reading. "There are none of them that are good, and there are some that are worse." Toomey says the risk of legacy edge devices is reflected in the cyber insurer's pricing model, which Toomey is continually evolving based on claims data. "I can tell you that, both at a technology level and a vendor level, the premium that you will be quoted from Coalition has an awful lot to do with what we see externally exposed from your company," he says. "And if you're using a vendor that we have had a bad claims history with, then your premium is going to be significantly higher than if you were not using that vendor." Toomy strongly recommends using zero-trust solutions and moving away from legacy SSL-VPNs. "There's half a dozen different technologies that you could adopt," he says, "all of which would get you a cheaper premium with us and would make you significantly less likely to suffer a claim than if you used any of these legacy SSL-VPN devices."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD