9 de octubre de 2026. Atacantes están intentando explotar la vulnerabilidad de máxima gravedad CVE-2026-102255 en dispositivos SonicWall SMA1000, apenas tres días después de que SonicWall publicara una corrección.
El fallo afecta a la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v. No afecta a la línea SMA 100 Series ni a las funciones SSL-VPN ejecutadas en firewalls de SonicWall. Según SonicWall, un atacante remoto no autenticado podría inducir al dispositivo a emitir solicitudes en su nombre, acceder a funciones internas y realizar operaciones no autorizadas.
Ryan Dewhurst, fundador de Previdian, explicó a BleepingComputer que su red de honeypots detectó solicitudes dirigidas a la interfaz WorkPlace Extraweb. Los intentos empleaban una petición OPTIONS manipulada para acceder al servicio interno CouchDB del dispositivo en 127.0.0.1:5984, recorrer un documento de diseño e invocar la función _rewrite mediante una cabecera de autorización HTTP Basic con las credenciales admin:admin.
Previdian indicó que la actividad es coherente con intentos de explotación activa, aunque todavía no ha determinado si alguno logró comprometer sistemas. La firma de inteligencia de amenazas Defused también informó de tráfico SSRF no autenticado contra sus señuelos de SonicWall SMA.
Shadowserver contabiliza más de 400 dispositivos SMA1000 expuestos en Internet, aunque no hay datos sobre cuántos son honeypots o ya han sido actualizados frente a CVE-2026-102255. Estos dispositivos son utilizados por proveedores de servicios gestionados, grandes empresas y organismos públicos para proporcionar acceso VPN a aplicaciones y redes internas.
La vulnerabilidad se suma a otros incidentes recientes que afectan a la plataforma. En julio, actores de amenazas explotaron los zero-day CVE-2026-15409 y CVE-2026-15410 para instalar los programas maliciosos Sou5, OrangeTail y RootRun en dispositivos VPN vulnerables. El mes pasado, SonicWall alertó de la explotación activa de CVE-2026-83548 y CVE-2026-83549 para ejecutar código de forma remota en gateways SMA1000.
Fuente: BleepingComputer.
Más noticias
BeyondTrust corrige un zero-day explotado desde agosto en Remote Support
Zeabur cerrará tras sufrir una segunda brecha de seguridad en dos meses
AOMEI aún no ha notificado a los clientes afectados por el secuestro de sus actualizaciones
Versiones de OVHcloud CLI comprometidas en GitHub distribuían malware para robar secretos
Ahold Delhaize confirma un ciberataque que afectó a servicios en Estados Unidos y Europa
Nikkei comunica una tercera brecha en un mes con 1,83 millones de registros expuestos