SonicWall publicó el 14 de julio de 2026 un aviso urgente sobre dos
vulnerabilidades zero-day en su serie SMA1000 (equipos de acceso
remoto seguro), con explotación activa ya confirmada antes incluso de
que existiera parche disponible. CISA las ha añadido a su catálogo de
Vulnerabilidades Explotadas Conocidas, con plazo hasta el 17 de julio
para organismos federales estadounidenses.

CVSS 10.0: la puntuación máxima posible

CVE-2026-15409 alcanza el CVSS máximo de 10.0 — un fallo de Server-Side Request Forgery (SSRF) en la interfaz Appliance Work Place que permite a un atacante remoto y sin autenticar forzar al equipo a abrir un túnel basado en websocket hacia cualquier servicio interno accesible solo desde localhost.

En la práctica, esto significa que un atacante externo puede alcanzar
servicios que, en teoría, nunca deberían ser accesibles desde fuera
del propio dispositivo.

La cadena completa: de SSRF a control root

Aquí está la parte más grave, y por la que las agencias han marcado
esto como emergencia: CVE-2026-15409 no actúa sola. Investigadores de
Rapid7 documentaron que se está explotando en conjunto con
CVE-2026-15410 (CVSS 7.2), un fallo de inyección de código en la
Consola de Administración del equipo. La combinación permite a un
atacante ejecutar comandos de sistema operativo arbitrarios como
root, a través de un fallo de path-traversal en el proceso interno
que gestiona la eliminación de hotfixes, accesible en el puerto 8188
de localhost — puerto al que CVE-2026-15409 le da acceso desde fuera
gracias al SSRF.

Dicho de forma directa: la cadena completa da control total del
equipo a un atacante que empieza sin ninguna credencial.

Detectado antes incluso del aviso oficial

Un dato que refuerza la gravedad real: el equipo de Detección y
Respuesta Gestionada de Rapid7 observó explotación activa y dirigida
contra equipos SMA1000 expuestos a internet antes de que SonicWall
publicara el aviso oficial — es decir, los atacantes ya llevaban tiempo
usando esto cuando el fabricante todavía no había confirmado el
problema públicamente. Ya existe una prueba de concepto en Python
publicada para verificar exposición, y un módulo de Metasploit está
en desarrollo — la ventana para actuar antes de que la explotación se
generalice se está cerrando rápido.

Qué revisar si gestionas uno de estos equipos

SonicWall ha identificado indicadores de compromiso concretos que
conviene revisar de inmediato en tus logs:

  • Peticiones sospechosas a /api/login o /api/logout que devuelven
    código HTTP 200 en extraweb_access.log.
  • Peticiones a /wsproxy con parámetros de host sospechosos que
    devuelven HTTP 101 (indicativo de la apertura del túnel websocket).

Modelos afectados y cómo actualizar

Los modelos afectados son SMA1000 6210, 7210 y 8200v, en las ramas de
firmware 12.4.3 y 12.5.0. La actualización debe hacerse a las versiones
hotfix 12.4.3-03453 o 12.5.0-02835 o posteriores, disponibles
en el portal MySonicWall. SonicWall aclara que esto no afecta a
la funcionalidad SSL-VPN de sus firewalls tradicionales ni a la serie
SMA100 — el problema queda acotado a la serie SMA1000 concretamente.

Un patrón que se repite, y que conviene tener presente

SonicWall ya ha sido objetivo recurrente de este tipo de campañas en
el pasado — el catálogo KEV de CISA incluye actualmente 17 fallos,
varios de ellos afectando también a equipos SMA1000. Si gestionas
infraestructura de acceso remoto de cualquier fabricante, este patrón
de "SSRF sin autenticar + escalada a root" es exactamente el tipo de
cadena de ataque que conviene tener en el radar al auditar cualquier
equipo expuesto a internet, no solo estos modelos concretos.