Alerta de Seguridad: SonicWall SMA1000 - SSRF preautenticada crítica

Alerta crítica para SonicWall SMA1000

CVE-2026-102255 es una vulnerabilidad SSRF preautenticada en la interfaz Work Place de SonicWall SMA1000. Un atacante remoto sin credenciales puede abusar de una ruta de acceso no prevista para hacer que el appliance emita solicitudes en su nombre, alcance funcionalidad interna y ejecute operaciones no autorizadas.

La falla tiene una puntuación CVSS 10.0 y el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. SonicWall publicó el aviso el 6 de octubre de 2026 y corrigió el problema en la versión 12.4.3-02500.

Actividad observada

Investigadores reportaron el 9 de octubre solicitudes contra honeypots compatibles con intentos de explotación. La actividad apuntó a /api/documents/files e intentó consultar archivos locales y servicios de metadatos. Esta telemetría externa no equivale a una confirmación oficial de compromisos exitosos, pero justifica respuesta inmediata.

Impacto

• Acceso no autorizado a recursos internos desde el contexto del appliance.
• Posible exposición de archivos, configuración y secretos.
• Riesgo de movimiento lateral desde un dispositivo perimetral de acceso remoto.

Acciones inmediatas

1. Actualizar a 12.4.3-02500 o posterior de acuerdo con el aviso oficial.
2. Priorizar appliances expuestos a Internet y reducir su superficie de acceso mientras se completa el cambio.
3. Buscar solicitudes anómalas hacia /api/documents/files, intentos de acceso a /etc/passwd, /proc/self/environ, /etc/hosts y metadatos de nube.
4. Si existen indicios, preservar registros, aislar el equipo e iniciar una investigación de compromiso.
5. Rotar secretos y credenciales potencialmente expuestos después de determinar el alcance.

El parche debe acompañarse de revisión de evidencia histórica: actualizar evita nuevos intentos, pero no elimina un acceso previo.