Inc Ransomware explota vulnerabilidades zero-day en SonicWall SMA

El grupo de ransomware Inc ha explotado dos vulnerabilidades zero-day en los dispositivos Secure Mobile Access (SMA) de SonicWall, permitiendo a atacantes remotos ejecutar código con privilegios root y comprometer redes empresariales.

Por qué importa: Estas vulnerabilidades facilitan ataques remotos sin autenticación previa, poniendo en riesgo la seguridad de múltiples organizaciones que usan SonicWall SMA.

Lo esencial

Las vulnerabilidades CVE-2026-15409 y CVE-2026-15410 afectan a la serie SMA 1000 de SonicWall.
Inc Ransomware utiliza estas fallas para obtener ejecución remota de código y escalar privilegios a nivel root.
La Agencia de Seguridad Cibernética e Infraestructura (CISA) ya las incluyó en su catálogo de vulnerabilidades explotadas.

Inc Ransomware explota vulnerabilidades zero-day en SonicWall SMA — Imagen de referencia: Dark Reading.

Detalles de las vulnerabilidades en SonicWall SMA

CVE-2026-15409 es una vulnerabilidad de falsificación de solicitud del lado servidor (SSRF) en la interfaz web "Work Place" del SMA, que permite a un atacante no autenticado enviar solicitudes a servicios internos restringidos. Esta falla tiene una puntuación máxima de 10 en el sistema CVSS.

CVE-2026-15410 es una vulnerabilidad de inyección de código que requiere acceso previo a la consola de administración del dispositivo. Permite ejecutar comandos arbitrarios a nivel del sistema operativo y tiene una puntuación CVSS de 7.2.

Cadena de ataque y explotación por Inc Ransomware

Los atacantes aprovechan primero CVE-2026-15409 para obtener ejecución remota de código sin autenticación. Luego, pivotan a CVE-2026-15410 para escalar privilegios y obtener acceso root completo al dispositivo. Esta combinación facilita la infiltración profunda en redes empresariales.

Según la telemetría de Rapid7, Inc Ransomware utiliza estas vulnerabilidades para robar credenciales y establecer persistencia, preparando el terreno para desplegar ransomware.

Respuesta y medidas oficiales

El 14 de julio, SonicWall emitió un aviso de seguridad alertando sobre estas vulnerabilidades. La CISA las agregó a su catálogo de vulnerabilidades conocidas explotadas (KEV) el mismo día, instando a las organizaciones a aplicar parches y mitigaciones.

Rapid7 publicó una prueba de concepto para CVE-2026-15409 en GitHub, evidenciando la gravedad y facilidad de explotación.

Preguntas frecuentes sobre vulnerabilidades SonicWall SMA

¿Qué dispositivos están afectados?

La serie SMA 1000 de SonicWall es la afectada por estas vulnerabilidades.

¿Qué riesgos implica la explotación combinada?

Permite a atacantes no autenticados ejecutar código remoto y escalar privilegios a nivel root, comprometiendo la seguridad de la red y facilitando ataques de ransomware.