CISA fija plazo del 5 de septiembre para fallo de SonicWall

SonicWall confirmó que unos atacantes están explotando activamente dos vulnerabilidades en sus equipos de acceso remoto de la serie SMA1000. La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) dio a las agencias federales hasta el 5 de septiembre para parchear los dispositivos afectados o desconectarlos.

La falla más grave, CVE-2026-83548, es un error de falsificación de solicitudes del lado del servidor (SSRF) sin autenticación previa en la interfaz Appliance Work Place. Obtiene la puntuación máxima de 10.0 en la escala CVSS, lo que significa que un atacante no necesita credenciales para aprovecharla. Una segunda falla, CVE-2026-83549, es un error de inyección de comandos del sistema operativo en la Appliance Management Console, calificada con 7.8; por sí sola requiere una cuenta de administrador autenticada, pero combinada con la primera permite a un atacante externo ejecutar comandos en el dispositivo sin iniciar sesión.

SonicWall reveló ambos problemas el 1 de septiembre en el aviso SNWLID-2026-0016 y afirmó haber observado ya ataques reales que combinan las dos fallas. CISA añadió ambos CVE a su catálogo de Vulnerabilidades Explotadas Conocidas el 2 de septiembre, exigiendo un análisis forense de los equipos afectados y fijando el 5 de septiembre como plazo para las agencias civiles federales de EE. UU.

Lo que está en juego es considerable porque los equipos SMA1000, vendidos en los modelos 6210, 7210 y 8200v, se ubican en el borde de las redes corporativas y autentican las conexiones VPN de empleados remotos. Un ataque exitoso contra uno de ellos puede abrir a un intruso una vía directa hacia todo lo que hay detrás. SonicWall aún no ha publicado indicadores de compromiso, por lo que muchos administradores no tienen forma fiable de saber si su equipo ya fue vulnerado, razón por la cual tanto la empresa como CISA piden parchear de inmediato en lugar de esperar a una auditoría de seguridad.

SonicWall indicó que las organizaciones afectadas deben actualizar a la versión de parche 12.4.3-03526 o 12.5.0-02952, o posteriores. Como las fallas ya se han usado en ataques reales y todavía no existen indicadores de compromiso, la empresa también recomienda contactar a su equipo de soporte para una revisión manual de los sistemas, lo que en casos confirmados podría implicar reinstalar los equipos físicos desde cero o redesplegar los virtuales desde un estado limpio.

Aunque el plazo de CISA se aplica formalmente solo a las agencias federales de EE. UU., el estado de explotación activa significa que cualquier organización que use equipos SMA1000 enfrenta hoy el mismo riesgo, sin importar su sector o ubicación.