Intentos de explotación contra una vulnerabilidad de SonicWall SMA1000

Los atacantes están apuntando a una vulnerabilidad de máxima gravedad en los dispositivos SonicWall SMA1000, según un investigador de seguridad que habló con BleepingComputer. SonicWall corrigió el fallo, identificado como CVE-2026-102255, en un aviso publicado el martes.

La vulnerabilidad afecta a la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v. SonicWall afirma que no afecta a la línea SMA 100 Series ni a SSL-VPN en ejecución en los cortafuegos de SonicWall. La empresa advirtió que un atacante remoto sin autenticar podría hacer que el dispositivo enviara solicitudes en su nombre, acceder a funciones internas y realizar operaciones no autorizadas.

Ryan Dewhurst, fundador de Previdian, dijo el viernes a BleepingComputer que la red de honeypots de la empresa había detectado intentos compatibles con la explotación. Describió solicitudes OPTIONS diseñadas específicamente para dirigirse a la interfaz WorkPlace Extraweb e intentar acceder al servicio CouchDB interno del dispositivo en 127.0.0.1:5984. La actividad incluía una cabecera HTTP Basic Authorization con las credenciales admin:admin.

Dewhurst dijo que la actividad era compatible con intentos de explotación activa, pero que Previdian aún no había determinado si algún sistema había quedado comprometido. Shadowserver sigue la pista de más de 400 dispositivos SMA1000 expuestos en internet; se desconoce cuántos son honeypots o han sido parcheados.

Proveedores de servicios gestionados, empresas y organismos gubernamentales usan las pasarelas SMA1000 para acceder de forma remota a aplicaciones y redes internas. La fuente también menciona vulnerabilidades anteriores de SMA1000 explotadas en ataques, pero no establece una relación entre esos incidentes y los intentos actuales.