Desde el 8 de octubre hay intentos de explotar CVE-2026-102255, un fallo de gravedad máxima (CVSS 10.0) en las pasarelas de acceso remoto SonicWall SMA1000 6210, 7210 y 8200v. SonicWall lo parcheó el 6 de octubre. Si usas uno de estos equipos, confirma hoy que el parche está instalado y limita su exposición a internet.
Lo esencial
- CVE-2026-102255 tiene una puntuación CVSS de 10.0. Es un SSRF (falsificación de peticiones del lado del servidor) que no requiere autenticación, según BleepingComputer.
- Afecta a la interfaz Appliance WorkPlace de los modelos SMA1000 6210, 7210 y 8200v. No afecta a la serie SMA 100 ni al SSL-VPN de los firewalls SonicWall.
- SonicWall publicó el parche el martes 6 de octubre de 2026. Previdian y Defused Cyber detectaron los primeros indicios de explotación el 8 de octubre.
- Previdian registra 135 intentos desde dos direcciones IP de EE. UU., según The Hacker News.
- Shadowserver contabiliza más de 400 equipos SMA1000 expuestos en internet.
¿Me afecta si tengo un SonicWall?
Solo si tienes una pasarela SMA1000 de los modelos 6210, 7210 u 8200v. Es el equipo que muchas empresas usan para que la plantilla se conecte desde fuera a los sistemas internos. Si lo que tienes es un SMA 100 o usas el SSL-VPN de un firewall SonicWall, este fallo concreto no te afecta.
Si no sabes qué modelo tienes, porque te lo gestiona un proveedor de TI, la pregunta es para él. Y la respuesta la quieres por escrito.
¿Qué se sabe de los ataques?
El fallo permite a un atacante remoto, sin credenciales, hacer que el equipo emita peticiones en su nombre y llegar a funciones internas. Los intentos observados usan una petición OPTIONS manipulada contra la interfaz WorkPlace Extraweb para alcanzar el servicio CouchDB interno (127.0.0.1:5984), e incluyen las credenciales admin:admin.
Lo que no se sabe: Previdian no ha establecido si esos intentos habrían comprometido algún sistema, y SonicWall no había marcado el fallo como explotado en su aviso del martes. Tampoco se sabe cuántos de los más de 400 equipos expuestos son honeypots o ya están parcheados.
¿Por qué tanta prisa si no hay equipos comprometidos confirmados?
Por el historial. Es la tercera vulnerabilidad SSRF en la misma interfaz WorkPlace en 2026: julio, septiembre y octubre. En septiembre SonicWall avisó de que CVE-2026-83548 y CVE-2026-83549 se encadenaban en ataques reales para ejecutar código remoto en SMA1000.
Además, en los últimos cuatro años CISA ha añadido 19 vulnerabilidades de SonicWall a su catálogo de explotadas, y 13 de ellas las usan bandas de ransomware, según BleepingComputer. Tres días entre parche y primeros intentos dejan poco margen para esperar a la ventana de mantenimiento.
Qué hacer hoy
- Comprueba si tu empresa usa SonicWall SMA1000 6210, 7210 u 8200v. Si te lo gestiona un proveedor, pregúntaselo ahora.
- Confirma que el parche del 6 de octubre está instalado y pide la confirmación por escrito. Verifica las versiones corregidas directamente en el aviso oficial de SonicWall.
- Si no está aplicado, instálalo ya. Mientras tanto, limita el acceso desde internet a la interfaz de administración y a WorkPlace.
- Revisa los registros de los últimos días en busca de peticiones OPTIONS raras o accesos con credenciales por defecto (admin:admin).
- Si encuentras algo sospechoso, trátalo como un incidente: no te limites a parchear y seguir.
Qué significa para una pyme
La pasarela de acceso remoto es la puerta principal de tu red. Cuando falla, el atacante no necesita engañar a nadie: le basta con encontrar el equipo en internet. Por eso estos fallos se explotan en días, no en meses.
Nuestra postura: el problema no es solo este parche. Tres SSRF en la misma interfaz en un año, uno de ellos ya usado para ejecutar código, es un patrón. Si tienes un SMA1000, aplica el parche hoy y, después, hazte dos preguntas con calma. ¿Necesita WorkPlace estar abierto a todo internet, o puedes restringir quién llega a él? ¿Tu proveedor de TI tiene un compromiso de parcheo en días para fallos críticos, o lo deja para la siguiente revisión mensual?
Si la respuesta a la segunda es la revisión mensual, ese contrato no está pensado para el ritmo actual de ataques. Si necesitas una segunda opinión sobre cómo tienes montado el acceso remoto, en nuestro servicio de ciberseguridad revisamos exactamente esto.
Preguntas frecuentes
¿Hay empresas comprometidas por este fallo?
No está confirmado. Se han registrado intentos de explotación, pero Previdian no ha establecido si alguno habría comprometido un equipo.
Tengo un firewall SonicWall con SSL-VPN, ¿tengo que hacer algo?
Por este fallo, no. Solo afecta a SMA1000 6210, 7210 y 8200v. Sí conviene mantener el firewall al día por el historial de vulnerabilidades del fabricante.
¿Basta con aplicar el parche?
El parche cierra el fallo, pero no te dice si alguien entró antes. Por eso hay que revisar los registros de los últimos días.
