SonicWall SMA1000: fallo crítico CVE-2026-102255 (CVSS 10.0) con intentos de explotación observados

CVE-2026-102255 es una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) previa a la autenticación en la interfaz Work Place de los equipos SonicWall SMA1000, causada por “una ruta de acceso alternativa no intencionada”. Según el registro CVE publicado por SonicWall, un atacante remoto sin autenticar podría hacer que el equipo emita solicitudes en su nombre, llegar a funciones internas y realizar operaciones no autorizadas. El registro se publicó el 7 de octubre; en la NVD figura con puntuación CVSS v3.1 de 10.0 (vector AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) y las debilidades CWE-441 y CWE-918, y remite al aviso del fabricante SNWLID-2026-0017.

El Centro Canadiense de Ciberseguridad (aviso AV26-1017, 7 de octubre) lista como afectados los modelos SMA1000 6210, 7210 y 8200v. El registro CVE indica como afectadas las versiones 12.4.3-03526 y anteriores, y 12.5.0-02952 y anteriores, mientras que el aviso canadiense habla de 12.4.3-03670 y anteriores, y 12.5.0-03082 y anteriores. Como los registros públicos difieren, conviene confirmar la versión corregida directamente en el aviso de SonicWall.

Hay señales de explotación. La firma Previdian registra en sus sensores de tipo honeypot 135 intentos de explotación contra este CVE desde dos direcciones atacantes (una en EE. UU.), con la primera observación el 9 de octubre y la última el 10 de octubre. Su página no indica si algún intento tuvo éxito. El 9 de octubre el Centro Canadiense actualizó su aviso: “reportes de fuentes abiertas indican que el CVE-2026-102255 se está explotando en la práctica”.

Al 10 de octubre, el CVE no figuraba en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la CISA, cuya versión consultada es del 8 de octubre. Sí figuran en el KEV otros dos SSRF del mismo componente: CVE-2026-15409 (publicado el 14 de julio, agregado al KEV el 14 de julio) y CVE-2026-83548 (publicado el 1 de septiembre, agregado el 2 de septiembre). La NVD puntúa los tres con CVSS 10.0, así que este es el tercer SSRF de máxima gravedad sin autenticación en la interfaz Work Place de SMA1000 desde julio.