Se ha detectado que actores de amenazas están explotando una vulnerabilidad de seguridad crítica recientemente divulgada en los dispositivos SonicWall Secure Mobile Access (SMA) 1000, apenas unos días después de que se hiciera pública.
La vulnerabilidad, identificada como CVE-2026-102255 y con una puntuación CVSS de 10.0, es un caso de falsificación de petición del lado del servidor (SSRF) preautenticado que podría permitir a un atacante remoto dirigir el dispositivo para emitir solicitudes en su nombre y alcanzar funcionalidades internas, realizando operaciones no autorizadas.
SonicWall publicó los parches para esta falla el 6 de octubre de 2026, con las versiones 12.4.3-03670 (hotfix de plataforma) y 12.5.0-03082 (hotfix de plataforma).
Desde entonces, la vulnerabilidad ha comenzado a registrar intentos de explotación activa, con las primeras señales detectadas por las firmas de inteligencia de amenazas Defused Cyber y Previdian el 8 de octubre de 2026.
Los datos de Previdian muestran que se han observado un total de 135 intentos hasta la fecha, provenientes de dos direcciones IP únicas ubicadas en Estados Unidos. SonicWall aún no ha actualizado su aviso para reflejar la explotación activa de la falla.
CVE-2026-102255 es la última vulnerabilidad que afecta a los dispositivos SonicWall SMA 1000 en ser explotada activamente. En junio de 2026, otras dos fallas en el mismo producto (CVE-2026-15409, puntuación CVSS: 10.0, y CVE-2026-15410, puntuación CVSS: 7.2) fueron weaponizadas como zero-days por un actor de amenazas denominado UTA0533 para desplegar webshells Java y un malware llamado KNUCKLEBALL.
Rapid7 también informó que observó a actores de amenazas aprovechando estas fallas para atacar dispositivos expuestos a internet y utilizarlos como un vector de acceso inicial sigiloso para ejecutar comandos en el sistema operativo y garantizar un acceso persistente a largo plazo.
Una vez que establecieron una base en el dispositivo, los actores extrajeron sistemáticamente credenciales de alto valor, bases de datos de sesiones activas y configuraciones de semillas de autenticación multifactor (MFA) basadas en contraseñas de un solo uso por tiempo (TOTP).
Con estos recursos recolectados, los actores de amenazas pasaron rápidamente al movimiento lateral, pivotando desde el dispositivo comprometido directamente hacia la red corporativa interna.
Deja una respuesta