-
SonicWall parchea CVE-2026-19868, ya explotada: credenciales válidas de otro método saltean el MFA por SAML del SSL VPN (06-07/11)
La falla es de aplicación de autenticación, no de código: un usuario con credenciales válidas para otro método de login puede esquivar los controles SAML del servicio SSL VPN, y con eso el MFA que SAML imponía. CVSS 7,1 y solo expuesto si el login por SAML está habilitado. CISA la metió en el catálogo KEV el 6/11, con plazo federal al 20/11 bajo la BOD 26-04, y SonicWall confirma que investigó un reporte de explotación potencial. Afecta Gen7 con SonicOS 7.3.3-7015 o anterior y Gen8 con 8.2.2-8015 o anterior; se arregla en 7.3.4-7013 y 8.2.3-8015, y no hay workaround. La reportó Ryan Harris, de The Electronic Office. SecurityWeek · CVE Brief
-
SonicWall: un SSRF preautenticación con CVSS 10.0 en los SMA 1000 ya acumula 135 intentos de explotación, seis días después del parche (12/10)
El bug es CVE-2026-102255 y permite que un atacante remoto, sin credenciales, haga que el appliance emita peticiones en su nombre y alcance funcionalidad interna. SonicWall publicó el arreglo el 6 de octubre como hotfix de plataforma, builds 12.4.3-03670 y 12.5.0-03082, y el 8 de octubre Defused Cyber y Previdian ya veían explotación activa: la telemetría de Previdian cuenta 135 intentos desde solo dos IPs, ambas en Estados Unidos. El antecedente es el que obliga a asumir compromiso y no solo parchear: en junio UTA0533 usó dos fallos de los mismos SMA 1000 como 0-day para plantar web shells en Java y el malware KNUCKLEBALL, y según Rapid7 se llevó credenciales, bases de sesiones y las semillas TOTP del MFA antes de moverse lateralmente. Al momento del reporte SonicWall no había actualizado su aviso SNWLID-2026-0017 para reflejar la explotación en curso. The Hacker News
-
SonicWall parchó un SSRF de 10,0 sin autenticación en los SMA1000 (07/10)
El CVE-2026-102255 está en el portal WorkPlace y deja a un atacante sin credenciales alcanzar funcionalidad interna y hacer operaciones no autorizadas; SonicWall no dijo qué funciones quedan expuestas. El aviso SNWLID-2026-0017 trae tres más, todas con login: una inyección de comandos de 7,8, un Zip Slip de 7,2 en la consola de administración y un XSS almacenado de 5,5. Toca los modelos 6210, 7210 y 8200v: las versiones 12.4.3-03526 y anteriores se corrigen en 12.4.3-03670, y las 12.5.0-02952 y anteriores en 12.5.0-03082. No hay evidencia de explotación de estas cuatro, pero el antecedente pesa: dos fallos anteriores del mismo aparato, corregidos justamente en esas versiones base, sí fueron explotados. Los hotfixes están en MySonicWall, reinician el equipo y no hay workaround. The Hacker News
-
CISA agrega siete fallas explotadas a su catálogo KEV, entre ellas las dos de SonicWall y una inyección SQL sin autenticar en Sangoma Switchvox (03/09)
Las dos de SonicWall son las de ayer: CVE-2026-83548, el SSRF preautenticación de puntaje 10,0 en la interfaz WorkPlace de los SMA 1000, y CVE-2026-83549, la inyección de comandos posautenticación de 7,8 en la consola de administración. La que se suma con peso propio es CVE-2026-9586, puntaje 9,3, una inyección SQL en Sangoma Switchvox que deja a un atacante remoto sin autenticar ejecutar sentencias arbitrarias contra el PostgreSQL de atrás, y de ahí a ejecución de código. Entrar al KEV no es un trámite: para las agencias federales de Estados Unidos arranca un plazo de parcheo obligatorio, y para el resto es la señal más confiable de que la falla ya se está usando. The Hacker News · CISA
-
SonicWall avisa que están encadenando dos zero-days en los appliances SMA1000 para ejecutar código remoto (02/09)
El primero es CVE-2026-83548, una inyección de comandos de severidad máxima en la interfaz WorkPlace que arranca de una falla de server-side request forgery. El segundo, CVE-2026-83549, es otra inyección de comandos en la consola de administración que un atacante con privilegios de admin usa para ejecutar comandos arbitrarios del sistema operativo. Afecta a los modelos 6210, 7210 y 8200v, y no toca ni el SSL-VPN de los firewalls ni la línea SMA 100. Shadowserver ve más de 400 appliances expuestos, aunque algunos ya podrían estar parcheados. SonicWall pide actualizar al hotfix, y si aparecen indicadores de compromiso, reimagenar el equipo, cambiar todas las contraseñas de usuarios y administradores y resetear los tokens TOTP. No publicó todavía la lista de IOCs. Es el tercer episodio de zero-days en SMA1000 en menos de un año, y los dos anteriores terminaron con bandas de ransomware explotándolos. BleepingComputer · Aviso de SonicWall
-
Akira arranca Windows en Modo Seguro para dejar al EDR afuera, y el ransomware falla igual (17/08)
Un afiliado de Akira entró a una empresa por un SonicWall SSL VPN sin MFA y, en vez de pelear contra el EDR, reinició los equipos en Modo Seguro con red: ahí los servicios de terceros no arrancan, así que el agente de detección simplemente no está corriendo cuando cae el encriptador. La técnica no es nueva pero se está estandarizando, y deja una lección de configuración concreta: si tu EDR no está registrado para iniciar en Modo Seguro, tu cobertura tiene un agujero de un reboot de ancho. El final es casi cómico — el encriptador se quedó sin memoria y falló, así que el ataque no completó el cifrado— pero eso fue suerte, no defensa. Security Affairs
-
INC Ransomware explota a escala los CVEs de SonicWall SMA1000
(acelerando desde el 1/8). CVE-2026-15409 y CVE-2026-15410 (uno con CVSS 10) permiten tunelizar a servicios restringidos y escalar a root; fueron explotados como 0-day desde el 22/6 y parcheados el 14/7, pero INC intensificó los ataques con víctimas en EE.UU., Australia, EAU, Colombia y Suiza. Si tenés SMA1000, parchear ya. SecurityWeek · The Hacker News
-
Ransomware frena producción de Fairlife (Coca-Cola); SonicWall parchea gateways explotados
Fairlife, subsidiaria láctea de Coca-Cola en EE.UU., confirmó un ataque de ransomware que detuvo temporalmente su producción. En paralelo, SonicWall lanzó un hotfix para CVE-2026-15409 y CVE-2026-15410, dos fallas críticas en gateways SMA 1000 con ejecución remota de comandos sin autenticación, ligadas a explotación activa del ransomware Inc. BrightDefense · Check Point Research
-
Zero-days en SonicWall SMA explotados semanas antes del parche
Volexity documentó a UTA0533 encadenando CVE-2026-15409 (CVSS 10.0, bypass pre-autenticación en /wsproxy que abre un túnel WebSocket a servicios locales del appliance) con CVE-2026-15410 (CVSS 7.2) para obtener root en appliances SMA1000. Con ese acceso instalaron un dropper llamado KNUCKLEBALL que despliega dos familias en Java, Sou5 y ORANGETAIL. La explotación habría empezado el 22 de junio; SonicWall parcheó recién esta semana. Si hay un SMA1000 expuesto, parchear y asumir compromiso es lo razonable. Volexity (fuente primaria) · The Hacker News
-
SonicWall SMA 1000 bajo ataque activo — dos zero-days explotados por el ransomware Inc
CVE-2026-15409 (SSRF, CVSS 10.0) y CVE-2026-15410 (inyección de código post-autenticación, CVSS 7.2) se encadenan para pasar de atacante externo no autenticado a root en el appliance. Rapid7 vincula la explotación al grupo Inc ransomware, que ya se metió en múltiples redes empresariales robando credenciales. CISA los sumó al catálogo KEV con fecha límite de parcheo el 17 de julio. Parchear ya. The Hacker News · Rapid7
-
SonicWall: explotación activa de dos zero-days en appliances SMA 1000
SonicWall alertó por explotación en curso de CVE-2026-15409 (SSRF, CVSS 10.0, explotable por atacante remoto no autenticado) y CVE-2026-15410 (inyección de código post-autenticación, CVSS 7.2, permite ejecutar comandos del SO). Afectan a la serie Secure Mobile Access 1000; se recomienda parchear con urgencia. The Hacker News · SecurityWeek