-
CISA agrega siete fallas explotadas a su catálogo KEV, entre ellas las dos de SonicWall y una inyección SQL sin autenticar en Sangoma Switchvox (03/09)
Las dos de SonicWall son las de ayer: CVE-2026-83548, el SSRF preautenticación de puntaje 10,0 en la interfaz WorkPlace de los SMA 1000, y CVE-2026-83549, la inyección de comandos posautenticación de 7,8 en la consola de administración. La que se suma con peso propio es CVE-2026-9586, puntaje 9,3, una inyección SQL en Sangoma Switchvox que deja a un atacante remoto sin autenticar ejecutar sentencias arbitrarias contra el PostgreSQL de atrás, y de ahí a ejecución de código. Entrar al KEV no es un trámite: para las agencias federales de Estados Unidos arranca un plazo de parcheo obligatorio, y para el resto es la señal más confiable de que la falla ya se está usando. The Hacker News · CISA
-
SonicWall avisa que están encadenando dos zero-days en los appliances SMA1000 para ejecutar código remoto (02/09)
El primero es CVE-2026-83548, una inyección de comandos de severidad máxima en la interfaz WorkPlace que arranca de una falla de server-side request forgery. El segundo, CVE-2026-83549, es otra inyección de comandos en la consola de administración que un atacante con privilegios de admin usa para ejecutar comandos arbitrarios del sistema operativo. Afecta a los modelos 6210, 7210 y 8200v, y no toca ni el SSL-VPN de los firewalls ni la línea SMA 100. Shadowserver ve más de 400 appliances expuestos, aunque algunos ya podrían estar parcheados. SonicWall pide actualizar al hotfix, y si aparecen indicadores de compromiso, reimagenar el equipo, cambiar todas las contraseñas de usuarios y administradores y resetear los tokens TOTP. No publicó todavía la lista de IOCs. Es el tercer episodio de zero-days en SMA1000 en menos de un año, y los dos anteriores terminaron con bandas de ransomware explotándolos. BleepingComputer · Aviso de SonicWall
-
Akira arranca Windows en Modo Seguro para dejar al EDR afuera, y el ransomware falla igual (17/08)
Un afiliado de Akira entró a una empresa por un SonicWall SSL VPN sin MFA y, en vez de pelear contra el EDR, reinició los equipos en Modo Seguro con red: ahí los servicios de terceros no arrancan, así que el agente de detección simplemente no está corriendo cuando cae el encriptador. La técnica no es nueva pero se está estandarizando, y deja una lección de configuración concreta: si tu EDR no está registrado para iniciar en Modo Seguro, tu cobertura tiene un agujero de un reboot de ancho. El final es casi cómico — el encriptador se quedó sin memoria y falló, así que el ataque no completó el cifrado— pero eso fue suerte, no defensa. Security Affairs
-
INC Ransomware explota a escala los CVEs de SonicWall SMA1000
(acelerando desde el 1/8). CVE-2026-15409 y CVE-2026-15410 (uno con CVSS 10) permiten tunelizar a servicios restringidos y escalar a root; fueron explotados como 0-day desde el 22/6 y parcheados el 14/7, pero INC intensificó los ataques con víctimas en EE.UU., Australia, EAU, Colombia y Suiza. Si tenés SMA1000, parchear ya. SecurityWeek · The Hacker News
-
Ransomware frena producción de Fairlife (Coca-Cola); SonicWall parchea gateways explotados
Fairlife, subsidiaria láctea de Coca-Cola en EE.UU., confirmó un ataque de ransomware que detuvo temporalmente su producción. En paralelo, SonicWall lanzó un hotfix para CVE-2026-15409 y CVE-2026-15410, dos fallas críticas en gateways SMA 1000 con ejecución remota de comandos sin autenticación, ligadas a explotación activa del ransomware Inc. BrightDefense · Check Point Research
-
Zero-days en SonicWall SMA explotados semanas antes del parche
Volexity documentó a UTA0533 encadenando CVE-2026-15409 (CVSS 10.0, bypass pre-autenticación en /wsproxy que abre un túnel WebSocket a servicios locales del appliance) con CVE-2026-15410 (CVSS 7.2) para obtener root en appliances SMA1000. Con ese acceso instalaron un dropper llamado KNUCKLEBALL que despliega dos familias en Java, Sou5 y ORANGETAIL. La explotación habría empezado el 22 de junio; SonicWall parcheó recién esta semana. Si hay un SMA1000 expuesto, parchear y asumir compromiso es lo razonable. Volexity (fuente primaria) · The Hacker News
-
SonicWall SMA 1000 bajo ataque activo — dos zero-days explotados por el ransomware Inc
CVE-2026-15409 (SSRF, CVSS 10.0) y CVE-2026-15410 (inyección de código post-autenticación, CVSS 7.2) se encadenan para pasar de atacante externo no autenticado a root en el appliance. Rapid7 vincula la explotación al grupo Inc ransomware, que ya se metió en múltiples redes empresariales robando credenciales. CISA los sumó al catálogo KEV con fecha límite de parcheo el 17 de julio. Parchear ya. The Hacker News · Rapid7
-
SonicWall: explotación activa de dos zero-days en appliances SMA 1000
SonicWall alertó por explotación en curso de CVE-2026-15409 (SSRF, CVSS 10.0, explotable por atacante remoto no autenticado) y CVE-2026-15410 (inyección de código post-autenticación, CVSS 7.2, permite ejecutar comandos del SO). Afectan a la serie Secure Mobile Access 1000; se recomienda parchear con urgencia. The Hacker News · SecurityWeek