SonicWall GMS se quedó sin parche y la noticia trae la fecha de caducidad vencida. El aviso SNWLID-2026-0019, publicado por SonicWall el martes 3 de noviembre, confirma dos vulnerabilidades en la versión 9.5.2 y en todas las anteriores, y cierra la puerta con una frase seca: el producto llegó al fin de su vida útil y no recibirá corrección alguna. La recomendación oficial tiene tres letras: NSM, siglas de Network Security Manager, la plataforma que sustituye a GMS.
El fallo serio es CVE-2026-109593, con nota de 9,1 sobre 10. Un atacante con acceso de red a la consola, sin cuenta y sin contraseña, puede leer archivos internos de GMS y exponer información sensible. El vector publicado lo dice sin rodeos: ataque por red, complejidad baja, cero privilegios y cero interacción del usuario. El registro clasifica la debilidad como CWE-636, un diseño que deja el sistema abierto cuando algo falla, y la puntuación castiga dos frentes a la vez, confidencialidad y disponibilidad, ambas en nivel alto.
Una consola dada de baja sigue mandando en la red
GMS no es un programa menor dentro de una oficina. BleepingComputer recuerda que esa consola permite desplegar y administrar miles de equipos de seguridad de SonicWall desde una sola interfaz: cortafuegos de sucursales, oficinas centrales y redes de clientes atendidos por proveedores de servicios. Quien alcance los archivos internos de esa consola no toca una computadora cualquiera. Toca el plano de la red. El aviso no detalla qué archivos quedan al alcance de la lectura, y ese silencio obliga a tratar cualquier GMS expuesto como material comprometido en potencia.
El segundo fallo, CVE-2026-109594, baja a 6,8 y entra por la puerta de adentro. Es una inyección SQL que exige una sesión abierta y privilegios altos: con esas condiciones, un atacante puede consultar o modificar información guardada en la base de datos de GMS. Suena menos grave que el primero hasta que entra el factor humano. Una cuenta administradora robada o un empleado con acceso y mala intención convierten ese segundo fallo en otra llave, y las dos piezas juntas pintan una consola que ya no merece confianza.
Los dos fallos los encontraron y reportaron investigadores de Pentest-Tools. Los registros de cada CVE acreditan a Matei Badanoiu en el primero, y a Badanoiu junto a Andrei Lungu en el segundo. El aviso cubre las ediciones Virtual Appliance y Windows de SonicWall GMS 9.5.2 y anteriores. La evaluación que acompaña los registros marca explotación ninguna: hasta la salida del aviso, nadie había reportado ataques con estos dos fallos. Ese respiro viene con letra pequeña, porque la lectura de archivos sin clave quedó marcada como automatizable, apta para herramientas de rastreo que barren redes enteras buscando consolas olvidadas.
El historial de la marca no invita a esperar
El contexto aprieta bastante. BleepingComputer contó que la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos, CISA por sus siglas en inglés, sumó 19 vulnerabilidades de SonicWall a su catálogo de fallos explotados durante los últimos cuatro años, y 13 de ellas terminaron en manos de bandas de ransomware. Y el aviso de GMS llegó menos de un mes después de otro susto mayor: CVE-2026-102255, una falsificación de peticiones del lado del servidor con nota perfecta de 10,0, corregida en octubre. The Hacker News reportó que ese fallo ya sufre explotación activa, con telemetría de Previdian que registró 2.541 intentos de ataque desde ocho direcciones IP únicas de Singapur y Estados Unidos desde el 9 de octubre, y 30 intentos solo el 3 de noviembre.
Noviembre ya venía cargado para quien administra equipos de red. Los interruptores Zyxel GS1900 pasaron por un día cero propio, con 996 aparatos comprometidos en 48 países, y su fabricante sí publicó firmware nuevo el 22 de octubre. Esa diferencia marca el problema de SonicWall GMS sin parche. Con Zyxel había una corrección esperando descarga; con SonicWall la respuesta oficial es cambiar de plataforma. SecurityWeek recordó que GMS alcanzó el fin de su vida útil en octubre de 2025, y aun así quedan consolas encendidas en producción, administrando cortafuegos reales de empresas que nunca completaron la mudanza.
La salida práctica no admite atajos. Toca inventariar qué consolas GMS siguen vivas, sacarlas de cualquier red que no sea la de administración, cerrar su exposición y mover la gestión a NSM. La guía de transición de SonicWall advierte que la configuración no pasa a la versión en la nube de NSM y que los datos de reportes no migran a ninguna de las dos variantes, así que la mudanza arrastra trabajo manual y conviene planearla con el inventario en la mano. Esperar sentados no es una opción: no existe parche en camino ni lo habrá.
Quien todavía administre su red con GMS tiene una decisión con fecha encima. La consola quedó declarada al final de su vida en octubre de 2025, sus dos fallos nuevos no tendrán corrección y la evaluación oficial marca la lectura de archivos como automatizable. Cada semana extra con esa consola encendida y alcanzable suma exposición sin ninguna actualización en el horizonte que la compense.
Fuente: SonicWall
