SonicWall ha lanzado una advertencia sobre dos vulnerabilidades que afectan a versiones de su Global Management System (GMS) que ya no cuentan con soporte. La compañía ha confirmado que no desarrollará parches para estos fallos, presentes en GMS 9.5.2 y versiones anteriores.
El primero de los problemas, catalogado como CVE-2026-109593, tiene una puntuación CVSS de 9.1. Se trata de una vulnerabilidad de lectura de archivos sin autenticación que podría permitir a un atacante con acceso a la red leer archivos internos del GMS y, de este modo, exponer información sensible.
El segundo, CVE-2026-109594, cuenta con una puntuación CVSS de 6.8 y consiste en una inyección SQL posterior a la autenticación. En determinadas circunstancias, un atacante que ya haya accedido al sistema podría consultar o modificar la información almacenada en la base de datos del GMS.
El producto afectado ha alcanzado el final de su vida útil (EoL). Como consecuencia, no se publicará ninguna remediación ni actualización de seguridad para estas vulnerabilidades. Las organizaciones que utilicen el producto deben ser conscientes de los riesgos de seguridad asociados y se les recomienda encarecidamente que actualicen a SonicWall Network Security Manager (NSM).
La alerta se produce menos de un mes después de que SonicWall publicara correcciones para CVE-2026-102255, una vulnerabilidad crítica de falsificación de peticiones del lado del servidor (SSRF) previa a la autenticación, con una puntuación CVSS de 10.0, que podría haber permitido a un atacante alcanzar funcionalidades internas y realizar operaciones no autorizadas.
Ese fallo ha sido explotado activamente en el mundo real. Según los datos de telemetría de Previdian, desde el 9 de octubre de 2026 se han registrado 2.541 intentos de ataque procedentes de ocho direcciones IP distintas ubicadas en Singapur y Estados Unidos. Solo el 3 de noviembre de 2026 se contabilizaron 30 intentos de explotación.
Deja una respuesta