El pedaç de juliol és la versió vulnerable de setembre

El 14 de juliol, SonicWall va tancar un parell de zero-days explotats als seus SMA 1000 amb la build 12.4.3-03453. L'1 de setembre va publicar un altre avís. Entre les versions afectades hi figura la 12.4.3-03453 i anteriors. La build que et deixava al dia al juliol és l'última build vulnerable al setembre, i entre una cosa i l'altra van passar 49 dies.

Dels de juliol ja en vam escriure: l'appliance VPN perimetral és l'objectiu perfecte. Tornar sobre la mateixa caixa set setmanes després no ens fa cap gràcia, i precisament per això aquest post no va de córrer més amb els pedaços. Va d'una cosa que només es veu quan poses els dos avisos l'un al costat de l'altre.

Els dos avisos, a la mateixa taula

Això surt de les fitxes del NVD i dels avisos del fabricant, no de titulars:

La fila que importa és la sisena. 12.4.3-03453 és alhora la build que va arreglar el juliol i la build més nova que el setembre declara afectada. No és un matís de redacció: qui va complir el termini de tres dies del catàleg KEV al juliol —que era el correcte— va aterrar exactament a la versió que 49 dies després torna a aquest mateix catàleg.

I el vector CVSS dels dos SSRF és idèntic caràcter a caràcter. Mateixa nota, mateix vector, mateixa classe de fallada (CWE-918), mateix component. Dues vegades en set setmanes.

El «local» que no et protegeix

Aquí hi ha la part que es desprioritza sola. El CVE d'execució del juliol venia amb AV:N (xarxa) i PR:H (privilegis alts). El del setembre ve amb AV:L —vector d'atac local— i PR:L. Un responsable d'IT que obre la fitxa, llegeix «local» i té l'AMC restringit a la xarxa de gestió, tanca la pestanya tranquil. És la reacció lògica i és l'equivocada. I hi ha un detall que convé posar sobre la taula abans de continuar: la descripció que la mateixa SonicWall signa per a aquest CVE parla d'«un atacant remot autenticat com a administrador» —remot i admin— mentre que el vector diu AV:L i PR:L. El de juliol, descrit gairebé amb les mateixes paraules, es va puntuar AV:N i PR:H. El bitxo no va canviar tant entre juliol i setembre; el que va canviar és com es va puntuar. I això no et dóna cap sortida: o l'AV:L és literal i alguna cosa t'ha de donar aquest «local», o no ho és i llavors s'hi arriba per xarxa.

Perquè «local» és exactament el que l'altre CVE del parell regala. SonicWall descriu el 10.0 amb una expressió seva que convé llegir a poc a poc: «Pre-authentication SSRF via unintended forward-proxy». Un proxy de reenviament no intencionat. I la classificació d'aquesta fitxa no es va quedar en el CWE-918 de sempre: la mateixa SonicWall, com a CNA, li va assignar també el CWE-441 —i CISA ho replica a la seva entrada del KEV—, el nom oficial del qual a MITRE és «Unintended Proxy or Intermediary (Confused Deputy)» — el producte rep una petició i no preserva prou l'origen abans de reenviar-la fora de la seva esfera de control.

Que això no és especulació nostra ho avala el juliol, que sí es va documentar pas a pas. Rapid7, que va descobrir aquell parell, va descriure que l'SSRF permetia «obrir un túnel basat en websocket cap a serveis que només escolten a localhost», arribar així al servei intern ctrl-service al port 8188, i des d'allà executar ordres com a root. El segon CVE de juliol el van anomenar, en les seves paraules, «a local privilege escalation». Al juliol el «local» ja era assolible; al setembre és el que diu la mateixa puntuació.

El que no afirmem

La pregunta canvia de lloc

Una fallada és una fallada. Dues vegades la mateixa forma de fallada en 49 dies —una porta sense autenticar que reenvia peticions, més una consola d'administració que executa— ja no és mala sort: és l'arquitectura de l'aparell dient-te alguna cosa. I a partir d'aquí, la pregunta útil deixa de ser «està pedaçat?» i passa a ser «fins on arriba aquesta caixa quan la controlen?».

La diferència pràctica entre les dues preguntes és que la primera la contesta el fabricant cada vegada que publica un avís, i la segona la vas contestar tu una vegada, fa anys, el dia que vas muntar el concentrador — i no l'has tornat a mirar.

A les pimes que ens arriben, aquest concentrador acostuma a fer dues feines que no són la mateixa. Primera: que la gent que teletreballa arribi a les aplicacions. Segona: que les delegacions i algun proveïdor arribin al datacenter. Es van ajuntar a la mateixa caixa perquè ningú no volia un segon aparell, i és una decisió que en el seu moment va ser raonable. El problema és que la segona feina no necessita un portal públic, i tanmateix hereta tota l'exposició de la primera.

Separar el transport entre seus de l'accés remot d'usuaris és la part d'això que sí que és de disseny i no de pedaçat. És el que fem quan muntem SD-WAN multiseu: la connectivitat entre delegacions va pel seu propi camí, amb política per seu, i no penja de si el portal de teletreball aguanta l'avís d'aquesta setmana. Qui compromet el portal deixa d'heretar automàticament les rutes a totes les seus.

Si tens un SMA 1000, per aquest ordre

Un apunt sobre el calendari, que és la part que ningú no explica: els dos avisos van entrar al KEV amb tres dies de termini. Tres dies per inventariar, coordinar una finestra, actualitzar un equip pel qual entra tot el teletreball i a més revisar indicadors. Dues vegades en set setmanes. Això no ho absorbeix una persona que a sobre té la seva feina; ho absorbeix una guàrdia amb procediment, que és exactament per al que existeix el suport 24×7. I avui, 7 de setembre, el termini del segon avís va vèncer fa dos dies.

En curt

No som resellers de SonicWall ni de ningú, i aquest post no va de fer-te canviar de marca: la caixa següent tindrà els seus propis avisos. El que diu és que un aparell que repeteix la mateixa forma de fallada en 49 dies t'està donant una dada de disseny, no una tasca de manteniment. El pedaç el posa el fabricant quan pot. L'abast —què arriba a tocar aquest equip el dia que no és teu— el poses tu, i és l'única cosa de tot això que no depèn de la propera build.

Fonts (verificades el 7-set-2026): avís SNWLID-2026-0016 de SonicWall (1-set-2026), versions afectades i corregides, «Pre-authentication SSRF via unintended forward-proxy» i passos de remediació — sonicwall.com; vectors CVSS i CWE de CVE-2026-83548, CVE-2026-83549, CVE-2026-15409 i CVE-2026-15410 — NVD (fitxes en estat Analyzed); dates d'alta i terminis del catàleg KEV de CISA (versió 2026.09.04); builds corregides del juliol i mecànica del túnel websocket, ctrl-service i port 8188 — Rapid7; data d'inici d'explotació del parell de juliol (22-juny-2026, actor UTA0533) — Volexity, via Cybersecurity Dive; definició de CWE-441 — MITRE.