Inc ransomware explota los días cero de SonicWall SMA
Dos vulnerabilidades recientemente reportadas en SonicWall Acceso móvil seguro (SMA) fueron explotados como ataques de día cero por un importante grupo de ransomware.
El 14 de julio, el proveedor de ciberseguridad SonicWall lanzó uno Aviso de seguridad con respecto a dos vulnerabilidades en los dispositivos de la serie SMA 1000, CVE-2026-15409 y CVE-2026-15410. Juntos, podrían permitir que cualquier atacante aleatorio y no autenticado obtenga capacidades de ejecución remota de código (RCE) y luego ejecute comandos en el cuadro en el nivel raíz.
De hecho, esto ya está sucediendo. Según la telemetría de Rapid7, un actor de amenazas está vinculado al infame Inc ransomware como servicio (RaaS) utiliza CVE-2026-15409 y CVE-2026-15410 como ataques de día cero, infiltrándose en múltiples redes corporativas, robando credenciales y allanando el camino para la implementación de ransomware.
Vulnerabilidades en los SMA de SonicWall
Si tuviera que elegir entre las dos vulnerabilidades, CVE-2026-15409 debería merecer una atención especial. es un Falsificación de solicitudes del lado del servidor (SSRF) problema en la interfaz web Work Place de SMA que permite a los transeúntes en Internet crear solicitudes web que engañan al portal para que realice solicitudes a servicios internos y protegidos en su nombre. No requiere autenticación y ha conseguido una puntuación máxima de 10 sobre 10 en el Common Vulnerability Scoring System (CVSS).
CVE-2026-15410 recibió una puntuación CVSS más baja, pero aún alta, de 7,2 sobre 10 porque requiere que un atacante pueda acceder a la Appliance Management Console (AMC), la interfaz de usuario administrativa (UI) para un dispositivo ya accesible. De ser así, podrían aprovechar esta vulnerabilidad de inyección de código para ejecutar comandos arbitrarios a nivel del sistema operativo.
Las dos vulnerabilidades probablemente sean más fuertes cuando se combinan. SonicWall no describió exactamente cómo los atacantes los encadenaron. Pero según Rapid7, los atacantes pueden explotar CVE-2026-15409 para establecer la ejecución del código y luego pasar a CVE-2026-15410 para completar la escalada desde un externo no autenticado a un interno de nivel raíz. Los investigadores publicaron una prueba de concepto (PoC) explotar para la vulnerabilidad anterior en GitHub.
Conexión a Inc Ransomware
La Agencia de Seguridad de Infraestructuras y Ciberseguridad (CISA) ha añadido CVE-2026-15409 y CVE-2026-15410 a su registro Vulnerabilidades explotadas conocidas (KEV) el 14 de julio.
El 15 de julio, Rapid7 estuvo disponible detalles más precisos. Según los datos de telemetría, algunos actores de amenazas no identificados llevaron a cabo una operación de intrusión de libro de texto: utilizaron los dispositivos como vector de acceso inicial y explotaron las vulnerabilidades para eludir los controles de validación de entrada y ejecutar comandos a nivel del sistema operativo. Una vez que lograron afianzarse, establecieron un acceso persistente robando credenciales de inicio de sesión, bases de datos de sesiones activas y las semillas utilizadas para generar códigos de inicio de sesión únicos. Luego, realizaron movimientos laterales de SMA comprometidos a través de redes corporativas, apuntando principalmente a controladores de dominio.
Dos días después, Rapid7 hizo una regresión explícita de esta actividad. Inc ransomware. Brett Deroche, jefe de respuesta a incidentes de Rapid7, le dice a Dark Reading: «En la mayoría de los casos hemos evitado con éxito la exfiltración y el cifrado; sin embargo, ahora tenemos un caso activo en el que el uso de ransomware tuvo éxito».
Agrega que con historias como esta, “es importante reconocer eso”. Comprometer un dispositivo de borde Rara vez es el objetivo final del oponente. Es sólo el apoyo. El verdadero objetivo sigue siendo exactamente el de siempre: la monetización. En la historia reciente, esto se ha logrado predominantemente a través de ataques de ransomware de doble extorsión que tienen como objetivo tanto la exfiltración como el cifrado de datos”.
Los problemas de SonicWall
Desde la perspectiva de un actor de amenazas, el valor de un dispositivo SonicWall SMA serie 1000 no podría ser más claro. Al comprometer la puerta de enlace de una organización entre la web externa y la red interna, los atacantes pueden, entre otras cosas, acceder a sistemas y datos confidenciales, crear sus propias cuentas y potencialmente deshacerse de su propio código.
Además, SonicWall comercializa sus productos SMA como soluciones de seguridad de alta gama para agencias gubernamentales, proveedores de servicios de seguridad gestionados (MSSP) y empresas medianas y multinacionales. Por lo tanto, las víctimas potenciales también tienen un valor superior a la media. Todo esto podría explicar por qué los hackers explotan constantemente SonicWall Vulnerabilidades de día cero en sus productos a una velocidad similar a la de otros proveedores de dispositivos perimetrales como Fortinet e Ivanti.
Gracias a un cliente, una empresa de software como servicio (SaaS) con sede en Texas llamada Marquis Software Solutions, el enfoque de la empresa para revelar y remediar vulnerabilidades también ha sido objeto de debate. principios de 2026, Marquis demandó a SonicWall por no informarle de manera oportuna y precisa sobre una campaña de ciberataque de SonicWall que finalmente permitió un ataque de ransomware contra Marquis.
Afortunadamente, esta semana SonicWall solucionó los problemas CVE-2026-15409 y CVE-2026-15410 con una nueva revisión que recomendamos encarecidamente a los clientes que implementen.
Aún así, «la aplicación de parches después de un anuncio público deja una enorme ventana de vulnerabilidad en la que los atacantes ya están operando en días cero», señala John Gallagher, vicepresidente de Viakoo. “Para compensar esto, las empresas deben lidiar con ventajas y desventajas. Dispositivos relacionados con la red Asuma infracciones e implemente actualizaciones de seguridad a escala en minutos u horas, no en semanas o meses”.
Más allá de aplicar parches, las organizaciones deben hacer un esfuerzo adicional para detectar posibles intrusiones y actuar rápidamente para protegerse de los atacantes persistentes.
«Si el dispositivo ya estaba comprometido, ya no basta con aplicar el parche del fabricante», subraya Deroche de Rapid7. Ha visto casos en los que los clientes de SonicWall aplicaron parches pero no realizaron auditorías forenses completas inmediatamente después. El hallazgo: «Observamos que el actor de la amenaza mantuvo su persistencia y revirtió el parche recién aplicado a un estado vulnerable para mantener el acceso. Se requiere una auditoría forense integral del firewall para garantizar la eliminación completa».
Dark Reading se ha puesto en contacto con SonicWall para hacer comentarios.
Hemos recibido este contenido de ciberseguridad de: DarkReading
Puedes encontrar la noticia original en el siguiente enlace: https://www.darkreading.com/vulnerabilities-threats/inc-ransomware-exploits-sonicwall-sma-zero-days
