JC Rueda
Ciberseguridad · Aviso

SonicWall Global Management System (GMS) · Lectura de archivos internos sin autenticación

SonicWall confirma dos fallos en su gestor GMS —ya sin soporte— y avisa de que no publicará parche: la vía recomendada es migrar a NSM.

Publicado Lectura 5 min Ref. CVE-2026-109593, CVE-2026-109594 CVSS 9.1 (CISA ADP (Vulnrichment) para CVE-2026-109593; NVD aún «Awaiting Analysis». SonicWall, como CNA, la clasifica como «Crítica». La segunda vulnerabilidad, CVE-2026-109594, tiene CVSS 6.8 (media), vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N.)

Resumen

SonicWall ha reconocido dos vulnerabilidades en Global Management System (GMS), su consola de administración centralizada de cortafuegos. La más grave permite a un atacante sin credenciales leer archivos internos del sistema; la segunda, de severidad media, es una inyección SQL que requiere estar autenticado. Como GMS alcanzó su fin de vida el 30 de septiembre de 2026, el fabricante ha decidido que no publicará ninguna corrección y aconseja migrar a su plataforma Network Security Manager (NSM). No consta explotación activa.

Materias: Vulnerabilidades, SonicWall, Gestión de red, Fin de vida (EOL), Inyección SQL, Fuga de información

SonicWall ha publicado el boletín SNWLID-2026-0019 en el que admite dos vulnerabilidades en su producto Global Management System (GMS), la herramienta con la que las organizaciones administran de forma centralizada sus cortafuegos SonicWall. La peculiaridad del aviso no está tanto en los fallos —uno crítico y otro medio— como en la respuesta: al tratarse de un producto que ya no recibe soporte, el fabricante ha anunciado que no habrá parche y que la única solución es abandonar GMS y migrar a su plataforma sucesora.

Descripción

¿Qué es GMS? SonicWall Global Management System es un software de gestión centralizada: desde una única consola permite configurar, supervisar y generar informes de múltiples cortafuegos (los dispositivos de seguridad que filtran el tráfico de red) de la marca SonicWall. Se despliega como appliance virtual (una máquina virtual preconfigurada) o sobre Windows.

¿A qué versiones afecta? A SonicWall GMS en su versión 9.5.2 y todas las anteriores, tanto en formato Virtual Appliance como sobre Windows. Conviene subrayar un dato clave: GMS es un producto en fin de vida (End-of-Life, EoL). SonicWall fijó el fin de soporte (End of Support) el 30 de septiembre de 2026, de modo que a fecha de este aviso ya no recibe actualizaciones de forma ordinaria.

Las dos vulnerabilidades son:

  • CVE-2026-109593 (crítica) — Lectura de archivos internos sin autenticación. Un atacante con acceso de red a GMS, sin necesidad de usuario ni contraseña, podría leer ficheros internos del sistema y obtener información sensible. Está catalogada como CWE-636 («Not Failing Securely» o «fallo que no cierra de forma segura»): cuando un control de acceso falla, en lugar de denegar por defecto, deja pasar.
  • CVE-2026-109594 (media) — Inyección SQL posterior a la autenticación. Una inyección SQL (CWE-89) consiste en introducir comandos en los campos que la aplicación envía a su base de datos, de forma que el atacante logra ejecutar consultas no previstas. Aquí el atacante necesita credenciales válidas y privilegios altos, y en ciertas condiciones podría consultar o modificar información almacenada en la base de datos de GMS.

Las descubrieron Matei «Mal» Badanoiu y Andrei Lungu, de Pentest-Tools.com, que las reportaron de forma coordinada al fabricante.

Mecánica

CVE-2026-109593: cuando el control de acceso «falla abierto»

El fallo crítico es un problema de aplicación incorrecta de restricciones de seguridad. La lógica que debería comprobar si el solicitante tiene permiso para acceder a un recurso no se aplica correctamente, de modo que un cliente no autenticado —cualquiera con conectividad de red hacia la consola— puede solicitar y recibir el contenido de archivos internos. Ese es el sentido de CWE-636: ante un error, el sistema debería denegar («fail closed»), pero aquí concede el acceso («fail open»). El impacto directo es la divulgación de información sensible (por ejemplo, datos de configuración); el vector CVSS aportado por CISA puntúa también impacto sobre la disponibilidad, lo que eleva la nota a 9,1.

CVE-2026-109594: inyección SQL con sesión iniciada

El segundo fallo es de menor alcance porque exige que el atacante ya disponga de una cuenta válida con privilegios elevados (de ahí la condición «posterior a la autenticación»). A partir de ahí, manipulando los parámetros que GMS traslada a su base de datos, podría leer o alterar registros almacenados —incluidos, según las descripciones públicas, registros y datos internos—. Su vector CVSS refleja un alcance «cambiado» (el ataque afecta a componentes más allá del vulnerable) pero sin impacto directo sobre integridad o disponibilidad del servicio, lo que deja la puntuación en 6,8 (media).

En ninguno de los dos casos hay, a día de hoy, código de explotación público ni constancia de explotación en el mundo real.

Respuesta del creador

Respuesta de SonicWall

SonicWall ha reconocido ambos fallos en su boletín de seguridad SNWLID-2026-0019 y, como CNA (autoridad de numeración de CVE), ha asignado los identificadores y las clasificaciones de severidad. Su posición es doble y poco habitual:

  • No publicará corrección. Al tratarse de un producto que ha alcanzado el fin de su ciclo de vida, el fabricante declara expresamente que no lanzará ni parche ni solución temporal para estas vulnerabilidades.
  • Afirma no tener constancia de ataques. SonicWall indica que no hay evidencia de explotación activa contra sus clientes.

La vía que el fabricante señala es migrar a SonicWall Network Security Manager (NSM), la plataforma sucesora de GMS.

Respuesta de autoridades

En España, INCIBE-CERT ha emitido el aviso INCIBE-2026-833, con calificación de importancia «Crítica». En el ámbito internacional, la vulnerabilidad crítica ha sido enriquecida por el programa CISA ADP (Vulnrichment) con un CVSS de 9,1; el NVD aún la tiene en estado «pendiente de análisis». No figura en el catálogo Known Exploited Vulnerabilities (KEV) de CISA, el listado de fallos con explotación confirmada.

Parches y mitigaciones

¿Hay parche?

No, y no lo habrá. SonicWall ha confirmado que no publicará versión corregida ni mitigación oficial para GMS, por tratarse de un producto fuera de soporte. No existe, por tanto, una «versión corregida» a la que actualizar dentro de la propia familia GMS.

Qué hacer ahora

  • Migrar a Network Security Manager (NSM). Es la recomendación expresa del fabricante. SonicWall publica una guía de transición de GMS a NSM y una FAQ específicas; conviene revisar los requisitos (por ejemplo, partir de GMS 9.4.4 para la migración y disponer de NSM 3.0 o superior).
  • Reducir la exposición mientras dure la migración. Dado que el fallo crítico se explota a través de la red y sin autenticación, limite el acceso a la consola GMS: retírela de Internet, restrinja su acceso a redes de gestión internas y bloquee los puertos web expuestos.
  • Retirar los equipos GMS que ya no sean necesarios en lugar de dejarlos encendidos y accesibles.

Para los responsables jurídicos: mantener en producción un software sin soporte y con vulnerabilidades reconocidas y sin parche puede ser relevante a efectos de diligencia debida y del principio de seguridad del tratamiento del RGPD (art. 32). Documentar la decisión de migración y las medidas provisionales adoptadas es una buena práctica de cara a una eventual rendición de cuentas.

Fuentes