SonicWall alerta de fallos zero-day de SMA1000 explotados activamente

SonicWall ha alertado a sus clientes de que actores maliciosos están encadenando dos vulnerabilidades zero-day de SMA1000 en ataques de ejecución remota de código.

La primera, CVE-2026-83548, es una vulnerabilidad de inyección de comandos de máxima gravedad en la interfaz SMA1000 Appliance WorkPlace. Tiene su origen en una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF). La segunda, CVE-2026-83549, es una vulnerabilidad de inyección de comandos en SMA1000 Appliance Management Console. Los atacantes con privilegios de administrador pueden explotarla para ejecutar comandos arbitrarios del sistema operativo en dispositivos vulnerables.

SonicWall PSIRT investigó un caso que indicaba una explotación activa y pidió a los clientes que actualizaran sus dispositivos SMA1000 virtuales o físicos a la versión más reciente del hotfix. La empresa también recomendó a los administradores volver a crear la imagen de los dispositivos, cambiar las contraseñas de usuarios y administradores y restablecer los tokens TOTP si se detectan indicadores de compromiso (IOCs).

Los fallos afectan a los modelos SMA1000 6210, 7210 y 8200v. No afectan a SSL-VPN ejecutado en firewalls de SonicWall ni a la línea de productos SMA 100 Series.

Shadowserver rastrea actualmente más de 400 dispositivos SMA1000 expuestos en internet, aunque algunos pueden haber sido parcheados. SonicWall todavía no ha compartido detalles sobre los ataques en curso ni una lista de los IOCs identificados durante su investigación.