Actualizaré la noticia si SonicWall o CISA publican datos nuevos.

◢Qué ha pasado

Muchas empresas usan la VPN de su cortafuegos SonicWall para que la plantilla se conecte a la red de la oficina desde casa o de viaje. Cuando esa VPN se protege con SAML, el inicio de sesión pasa por el proveedor de identidad de la empresa (por ejemplo, el de Microsoft o Google), que es donde suele estar la verificación en dos pasos.

El problema, según la descripción del propio fabricante que recoge The Hacker News, es que un usuario con credenciales válidas para otro método de autenticación puede saltarse los controles de SAML. Si la verificación en dos pasos dependía de SAML, también se la puede saltar. CISA clasifica el fallo como uso de autenticación de un solo factor (CWE-308): en la práctica, una contraseña puede bastar donde la empresa creía que hacía falta algo más.

Es un fallo de gravedad alta, con puntuaciones de 7,1 y 7,5 sobre 10 según The Hacker News. No es un fallo que permita entrar sin nada: el atacante necesita una credencial válida. Pero las contraseñas robadas o filtradas abundan, y la verificación en dos pasos existe justo para que una contraseña sola no sirva.

◢¿Se está explotando?

SonicWall reconoce, según recoge The Hacker News, que investigó un informe que apuntaba a una posible explotación del fallo, y pide a sus clientes que actualicen a la última versión lo antes posible. No ha dado más detalles sobre los ataques ni sobre quién está detrás.

CISA, por su parte, lo ha metido en su catálogo de vulnerabilidades explotadas y ha dado de plazo a las agencias federales de Estados Unidos hasta el 20 de noviembre para corregirlo. En la ficha marca como desconocido si se ha usado en campañas de ransomware. Nadie ha atribuido de forma oficial estos ataques a ningún grupo o país.

◢Los otros fallos que corrige la actualización

La misma tanda de parches cierra otras vulnerabilidades de gravedad alta en SonicOS. Según The Hacker News, dos están en la interfaz de administración (CVE-2026-107155 y CVE-2026-107154, con 8,8 sobre 10) y podrían permitir a un atacante remoto sin credenciales hacer operaciones no autorizadas en determinadas condiciones. Una tercera, el CVE-2026-82308, es un desbordamiento de memoria en el SSL-VPN que se puede provocar sin iniciar sesión y que podría tumbar el servicio.

Unos días antes, SonicWall también había avisado de dos fallos sin parche en su antigua consola de gestión GMS, que ya no tiene soporte, y recomendó pasar a Network Security Manager (NSM).

◢¿Mi empresa está afectada?

Si no sabes qué cortafuegos tenéis, pregúntalo hoy a quien lleve los sistemas o al proveedor que os mantiene la red. En muchas pymes el cortafuegos lo instaló alguien hace años y nadie lo ha vuelto a mirar, y ese es justo el equipo que los atacantes buscan.

◢Qué hacer ahora

El plazo de CISA solo obliga a la administración estadounidense, pero da una idea de la urgencia: menos de dos semanas. Para el equipo técnico, lo razonable es esto:

• ▹Actualizar SonicOS a la versión corregida que indique el aviso de SonicWall para vuestro modelo.
• ▹Revisar qué otros métodos de autenticación acepta la VPN además de SAML (usuarios locales del propio cortafuegos, LDAP u otros) y quitar los que no hagan falta. El fallo se aprovecha precisamente de esos caminos alternativos.
• ▹Cambiar las contraseñas de las cuentas que entran por esos otros métodos. Si alguna se filtró, el parche cierra la puerta pero la contraseña seguiría siendo válida.
• ▹Mirar los registros de conexión de la VPN de los últimos días en busca de accesos raros: horas extrañas, países donde no trabajáis, usuarios que no suelen conectarse.
• ▹No dejar la interfaz de administración del cortafuegos accesible desde internet. Dos de los fallos corregidos están ahí.

Para la dirección, la pregunta útil es quién recibe los avisos de seguridad del fabricante del cortafuegos y cuánto tarda en aplicarlos. Si la respuesta es "no lo sé", hay trabajo pendiente.

◢Qué aprender de esto

Hace poco más de una semana escribí sobre los fallos explotados en la VPN de Ivanti. Es el mismo patrón: la VPN está expuesta a internet por definición y es de lo primero que miran los atacantes.

La otra lección va sobre la verificación en dos pasos. Sigue siendo de lo mejor que puede hacer una empresa, pero hay que comprobar que de verdad se aplica en todos los caminos de entrada. Si queda una puerta lateral que solo pide contraseña, el atacante entrará por ahí. Y como muchos ataques empiezan robando credenciales con un correo bien hecho, una plantilla que sabe detectar el engaño sigue siendo la primera barrera.

Si quieres que tu equipo entienda por qué importan estas cosas sin tener que ser técnico, es lo que trabajo en mis formaciones de ciberseguridad.