El INCIBE alerta de un fallo en las VPN de SonicWall que puede saltarse la doble autenticación y ya se está explotando

El INCIBE-CERT ha emitido una alerta de importancia alta por una vulnerabilidad en las VPN de SonicWall que se está explotando activamente: el fallo, identificado como CVE-2026-19868, permite a un atacante que ya disponga de credenciales válidas de otro método de acceso eludir los controles de SAML y, potencialmente, también la autenticación multifactor que la empresa creía obligatoria en su SSL VPN. En ese escenario, la segunda capa de seguridad se queda en papel mojado.

La vulnerabilidad solo afecta al servicio SSL VPN de SonicOS cuando SAML está habilitado para el inicio de sesión, en las dos generaciones actuales del sistema: la Gen 7 (SonicOS 7.3.3-7015 y anteriores) y la Gen 8 (8.2.2-8015 y anteriores), lo que incluye buena parte de los firewalls de las series TZ, NSa, NSsp y NSv que muchas pymes y administraciones españolas tienen en el perímetro. El fabricante publicó las correcciones la semana pasada dentro de un boletín con siete vulnerabilidades (cuatro altas y tres medias), y el organismo estadounidense CISA la incluyó el viernes en su catálogo de fallos con explotación confirmada, dando a las agencias federales hasta el 20 de noviembre para parchear. El fabricante, más cauto, habla en su boletín de «explotación potencial» y no ofrece ninguna mitigación alternativa al parche. Ni SonicWall ni la CISA han detallado, por ahora, quién está detrás de los ataques ni contra quién se dirigen.

La solución pasa por actualizar SonicOS cuanto antes: a la versión 7.3.4-7013 o posterior en la Gen 7 y a la 8.2.3-8015 o posterior en la Gen 8, consultando el boletín del fabricante para el modelo exacto, porque no existe otra vía de mitigación. La recomendación no es retórica: cuando el perímetro cae, todo lo que había dentro queda expuesto, y las VPN empresariales llevan años siendo una de las puertas favoritas de los atacantes, como demostró el caso de las más de 900 VPN empresariales cuyas contraseñas acabaron filtradas.

El patrón se repite con una regularidad que ya debería avergonzar al sector: un dispositivo pensado para proteger la red se convierte en la vía de entrada, y los mecanismos que debían servir de refuerzo, como la autenticación multifactor, resultan tener atajos que el fabricante desconocía. Es el mismo tipo de agujero que ha alimentado algunos de los peores incidentes de los últimos años y la razón por la que buena parte de la industria empuja modelos de acceso remoto basados en confianza cero, donde la VPN deja de ser el único guardián.

Mientras llega ese cambio, la realidad es tozuda: quien tenga hoy el SSL VPN de un SonicWall afectado con SAML habilitado tiene su puerta principal expuesta a un fallo que ya se está usando ahí fuera. El investigador Ryan Harris lo descubrió y lo notificó por los cauces correctos y el parche existe desde hace días, de modo que la tarea es inmediata y concreta: identificar si el equipo está entre los modelos y versiones afectados y actualizarlo esta misma semana. Que el INCIBE haya puesto su sello de importancia alta a la alerta debería bastar para no dejarlo para el mes que viene.

Más información | Aviso del INCIBE-CERT sobre las vulnerabilidades de SonicOS