Critical SonicWall SMA 1000 Flaw Targeted in 135 Exploitation Attempts After Patch
The Hacker News · 12 oct, 12:36
Qué hacer: Actualiza SonicWall SMA 1000 a las versiones 12.4.3-03670 o 12.5.0-03082 o posterior inmediatamente.
Una vulnerabilidad crítica en los dispositivos SonicWall Secure Mobile Access (SMA) 1000, identificada como CVE-2026-102255 (CVSS 10.0), está siendo explotada activamente apenas días después de su divulgación pública el 6 de octubre de 2026. Se trata de un servidor SSRF preautenticado que permite a atacantes remotos realizar operaciones no autorizadas. SonicWall publicó parches el 6 de octubre, pero ya se han registrado al menos 135 intentos de explotación desde dos direcciones IP estadounidenses.
La vulnerabilidad CVE-2026-102255 fue detectada por primera vez en explotación activa el 8 de octubre de 2026 por las firmas de inteligencia de amenazas Defused Cyber y Previdian. Se trata de un SSRF preautenticado que permite a atacantes remotos dirigir la appliance para emitir solicitudes en su nombre y alcanzar funcionalidad interna, realizando operaciones no autorizadas. Los parches lanzados por SonicWall fueron la versión 12.4.3-03670 y 12.5.0-03082 (ambos como platform-hotfix).
Esta es la tercera vulnerabilidad crítica en SMA 1000 explotada activamente en meses. En junio de 2026, los fallos CVE-2026-15409 (CVSS 10.0) y CVE-2026-15410 (CVSS 7.2) fueron utilizados como zero-days por el actor de amenazas UTA0533 para desplegar web shells Java y el malware KNUCKLEBALL. Rapid7 observó que tras acceder al dispositivo, los atacantes extrajeron credenciales, bases de datos de sesiones activas y configuraciones de semillas TOTP, utilizándolas para movimiento lateral hacia la red corporativa interna.
Puntos clave
- CVE-2026-102255: SSRF preautenticado con CVSS 10.0, explotado activamente con 135 intentos detectados
- Parches disponibles: versiones 12.4.3-03670 y 12.5.0-03082 lanzados el 6 de octubre de 2026
- Vector de ataque: acceso inicial remoto seguido de extracción de credenciales y movimiento lateral
- Historia: tercera vulnerabilidad crítica en SMA 1000 explotada en 2026 tras CVE-2026-15409 y CVE-2026-15410 en junio