El 22 de junio alguien empezó a entrar en redes corporativas a través del aparato que esas empresas habían comprado precisamente para controlar quién entra. El parche llegó el 14 de julio. Durante 22 días, la puerta blindada fue la puerta abierta. Y no es la primera vez, ni será la última: es el patrón que lleva años repitiéndose con los gateways VPN perimetrales, cambien las siglas del fabricante o no.
Qué ha pasado, con fechas
SonicWall publicó el 14 de julio un aviso para dos vulnerabilidades en sus appliances de acceso remoto SMA serie 1000 (SMA6210, SMA7210 y el virtual SMA8200v): CVE-2026-15409, un fallo pre-autenticación con CVSS 10.0 que permite a cualquiera desde Internet abrir un túnel WebSocket contra servicios internos del propio appliance que solo deberían escuchar en localhost, y CVE-2026-15410 (CVSS 7.2), una inyección que convierte ese acceso en ejecución de comandos y escalada a root. Encadenadas: de Internet a root en la caja que termina tu VPN.
La parte incómoda la puso Volexity tres días después, el 17 de julio: un actor que rastrean como UTA0533 llevaba explotando esta cadena desde el 22 de junio, tres semanas antes de que existiera parche. No era oportunismo post-aviso: era un zero-day en uso, descubierto durante una respuesta a incidente. Con root en el appliance desplegaban malware a medida —KnuckleBall para el acceso persistente, OrangeTail, un webshell Java inyectado en procesos legítimos del propio SMA, y el proxy de código abierto Suo5— y desde ahí, según observó también el equipo MDR de Rapid7, extraían credenciales, bases de datos de sesiones y semillas MFA.
Léelo otra vez: semillas MFA. El segundo factor que instalaste para que una credencial robada no bastara, generado desde el mismo aparato comprometido. CISA metió ambos CVE en su catálogo KEV con fecha límite del 17 de julio para las agencias federales de EE. UU. Las versiones corregidas son la 12.4.3-03453 y la 12.5.0-02835.
No es SonicWall: es el modelo
Sería fácil convertir esto en un "cambia de fabricante". No va de eso. El catálogo KEV de CISA acumula ya 17 fallos de productos SonicWall explotados, sí, pero también ha pasado lista a Citrix (el famoso Citrix Bleed de 2023), a Ivanti Connect Secure (zero-days explotados en masa en enero de 2024), a Fortinet y a Pulse Secure antes que ellos. El DBIR 2025 de Verizon lo midió: la explotación de dispositivos de borde y VPNs como puerta de entrada en brechas se multiplicó casi por ocho en un año, del 3% al 22%. Los atacantes no han descubierto un fabricante malo; han descubierto una clase de dispositivo buena.
Y este caso concreto huele a profesional: Volexity no lo atribuye a ningún grupo conocido, pero el malware a medida, la inyección en procesos legítimos y la paciencia apuntan más a espionaje que a ransomware de volumen. El dato tranquilizador —que el actor tuvo poco éxito moviéndose lateralmente en las víctimas observadas— es también el aviso: la próxima campaña sobre el mismo tipo de caja puede no ser tan torpe puertas adentro.
Por qué el gateway VPN es el objetivo perfecto
Ponte en la piel del atacante y el appliance VPN perimetral es casi demasiado bonito para ser verdad:
- →Está expuesto a Internet por diseño. No puedes esconderlo detrás de nada: su trabajo es escuchar a desconocidos. Toda su superficie pre-autenticación es atacable desde cualquier lugar del mundo, 24/7.
- →Es una caja negra que no puedes instrumentar. En un servidor comprometido tu EDR grita; en un appliance cerrado no hay agente que instalar, y el malware —como OrangeTail— vive dentro de los procesos legítimos del propio fabricante. La visibilidad que tienes es la que el fabricante decidió darte.
- →Concentra los secretos más valiosos de la casa. Credenciales de todos los usuarios remotos, sesiones activas, semillas MFA. Un solo compromiso y el atacante no necesita phishing: entra por la puerta con llaves legítimas.
- →Y detrás de él, confianza total. En el modelo VPN clásico, quien cruza el túnel "está dentro": red plana, acceso amplio, poca pregunta. El aparato es a la vez la muralla y el premio.
Nosotros operamos red propia y llevamos años terminando accesos remotos, así que lo decimos con conocimiento de causa y sin dramatismo: no es que estos aparatos estén mal hechos. Es que el modelo les pide algo estructuralmente peligroso —máximo privilegio, máxima exposición y mínima observabilidad en el mismo punto— y cuando falla, falla entero.
Si tienes un SMA 1000 (o un primo suyo): parchear no basta
El propio SonicWall lo dice en su aviso, y conviene tomárselo en serio porque la explotación empezó tres semanas antes del parche: actualizar hoy no deshace lo que haya pasado desde el 22 de junio. El orden que aplicaríamos nosotros:
- 1.Parchea ya a 12.4.3-03453 / 12.5.0-02835. Sin ventana bonita: la ventana bonita ya la usó el atacante.
- 2.Busca compromiso, no lo asumas limpio. Revisa los logs del appliance contra los indicadores publicados por Volexity y SonicWall desde el 22 de junio en adelante. Si hay dudas razonables, trátalo como comprometido: reimagen del appliance, no "limpieza".
- 3.Rota lo que la caja custodiaba: contraseñas de los usuarios que la atraviesan, certificados y secretos del propio appliance y —esto es lo que casi nadie hace— las semillas MFA/OTP generadas en él. Si el atacante se llevó las semillas, tu segundo factor es suyo.
- 4.Reduce superficie mientras decides el futuro: restringe qué IPs pueden hablar con el portal, saca la gestión del appliance de Internet y vigila el tráfico saliente de la caja — un gateway VPN que abre conexiones raras hacia fuera es un gateway contando lo que le pasa.
La salida de fondo: quitar confianza, no añadir cajas
La respuesta de la industria a cada uno de estos incidentes suele ser vender otra caja. La nuestra es más incómoda: el problema es la confianza implícita, y eso no se parchea, se desmonta. Es exactamente lo que hay detrás de la etiqueta Zero Trust cuando se le quita el humo comercial:
- ✓Cruzar el túnel no puede significar "estar dentro". Acceso por aplicación y por identidad, no una red plana entera por haber tecleado bien la contraseña. Si el gateway cae, el atacante hereda un pasillo, no el edificio.
- ✓Menos superficie pre-autenticación expuesta. En nuestros diseños de acceso remoto usamos WireGuard con acceso segmentado: sin portal web gigante escuchando a todo Internet, la superficie atacable antes de autenticar se reduce drásticamente. No es magia criptográfica; es tener menos cosas escuchando.
- ✓El borde se vigila desde fuera del borde. Como operador de red analizamos el tráfico con NetFlow: al appliance no le preguntas si está comprometido —te mentiría—, se lo preguntas a su tráfico. Los logs y la telemetría viven fuera de la caja que pueden comprometerte.
Lo que NO te vamos a decir
Dos honestidades antes de cerrar. Primera: no te decimos que tires tu appliance mañana. Hay entornos donde ese aparato sostiene el acceso de cientos de personas y arrancarlo de golpe crea más riesgo del que quita; la mitigación de arriba se hace hoy, la arquitectura se cambia con plan. Segunda: las alternativas ZTNA también tienen CVEs — no existe la caja invulnerable y quien te la venda te está mintiendo. La diferencia razonable no es "producto sin fallos", es cuánta superficie expones antes de autenticar, cuánto se lleva el atacante cuando algo falla y cuánto tardas en enterarte. En esas tres variables el modelo VPN perimetral clásico pierde por goleada.
Y recuerda quién te lo dice: no somos resellers de SonicWall ni de ningún fabricante de ZTNA. No ganamos nada con que compres una caja u otra. Ganamos algo si tu acceso remoto deja de ser el punto más goloso de tu red.
En corto
Un atacante estuvo 22 días entrando por appliances SonicWall SMA 1000 antes de que existiera parche, llevándose credenciales y semillas MFA. No es un caso aislado: es el enésimo episodio de una serie —Citrix, Ivanti, Fortinet, ahora SonicWall otra vez— que dice lo mismo cada temporada: el dispositivo que concentra exposición, privilegio y opacidad será atacado, y a veces ganarán ellos. Parchea hoy, rota lo que la caja custodiaba, y empieza a diseñar un acceso remoto en el que cruzar la puerta no regale la casa.
Fuentes (verificadas): aviso SonicWall del 14-jul-2026 y análisis de Volexity del 17-jul-2026 (CVE-2026-15409 CVSS 10.0, CVE-2026-15410 CVSS 7.2, explotación desde el 22-jun por UTA0533, malware KnuckleBall/OrangeTail/Suo5, KEV con plazo 17-jul, 17 fallos SonicWall en KEV) — Help Net Security, SecurityWeek, The Hacker News; robo de credenciales, sesiones y semillas MFA observado por Rapid7 MDR (vía Help Net Security); explotación de edge/VPN del 3% al 22% de brechas — Verizon DBIR 2025.
¿Tu acceso remoto sigue siendo un portal expuesto a todo Internet?
En everyWAN diseñamos accesos remotos con Zero Trust de verdad: identidad, segmentación por aplicación y un borde vigilado desde nuestra propia red de operador. Te revisamos cómo entra hoy tu gente y qué se llevaría un atacante si tu gateway cayera mañana.
Hablar con everyWAN
Microsoft 365
ES 
CAT 
EN