El INCIBE-CERT alerta de múltiples vulnerabilidades en SonicOS de SonicWall, una de ellas de severidad alta y ya explotada. El aviso, publicado este lunes 9 de noviembre, afecta a los cortafuegos corporativos de las generaciones 7 y 8 del fabricante, equipos presentes en pymes, administraciones públicas y grandes infraestructuras.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado un aviso por siete vulnerabilidades en SonicOS de SonicWall: cuatro de severidad alta y tres medias.
- ¿Dónde y cuándo? Aviso INCIBE-2026-844, publicado el lunes 9 de noviembre de 2026 y vinculado al boletín AV26-1133 del fabricante.
- ¿Qué riesgo? CVE-2026-19868 se explota activamente y permite eludir los controles SAML de la SSL VPN, incluida la autenticación multifactor.
Siete fallos en el cortafuegos, uno con explotación activa
El boletín del fabricante, con referencia AV26-1133 y recogido por el INCIBE-CERT bajo el identificador INCIBE-2026-844, enumera siete vulnerabilidades: cuatro de severidad alta y tres de severidad media. La más grave es CVE-2026-19868, notificada por Ryan Harris, de The Electronic Office, y que el propio aviso señala como explotada activamente.
El fallo se localiza en el servicio SSL VPN cuando el inicio de sesión se realiza mediante SAML. Un usuario con credenciales válidas para otro método de autenticación puede eludir los controles de SAML y, con ello, la autenticación multifactor que ese protocolo exige. Dicho de otro modo: la segunda barrera de acceso, la que protege el cortafuegos incluso cuando la contraseña ya ha sido comprometida, queda inoperativa.
El alcance cubre buena parte del catálogo de SonicWall. En la generación 7 quedan afectados los modelos TZ 270, TZ 370, TZ 470, TZ 570 y TZ 670, con sus variantes W y P, además de las familias NSa 2700 a NSa 6700, NSsp 10700 a NSsp 15700 y las versiones virtuales NSv 270, NSv 470 y NSv 870, todos con SonicOS 7.3.3-7015 o versiones anteriores.
En la generación 8 la lista es igual de extensa: TZ 80, TZ 280, TZ 380, TZ 480, TZ 580 y TZ 680, las familias NSa 2800 a NSa 5800 y los despliegues virtuales NSv XS, NSv S, NSv M y NSv L, en este caso con SonicOS 8.2.2-8015 o previas. El aviso no detalla el número de dispositivos expuestos.
El INCIBE-CERT clasifica CVE-2026-19868 como severidad alta y confirma explotación activa, lo que convierte la actualización del firmware en una medida urgente.
Actualizar a 7.3.4-7013 o 8.2.3-8015
La corrección pasa por el firmware. Para la generación 7, el INCIBE-CERT fija la versión 7.3.4-7013 o posterior; para la generación 8, la 8.2.3-8015 o posterior. El aviso remite al boletín de SonicWall para comprobar la versión exacta aplicable a cada modelo antes de instalarla.
La prioridad debe ser el parque que tenga la SSL VPN con SAML habilitado, porque es la configuración sobre la que actúa el fallo descrito. Las organizaciones que delegan el acceso remoto de sus empleados en un proveedor de identidad mediante SAML son, por tanto, las más expuestas. En el resto de supuestos, las otras seis vulnerabilidades del boletín (tres altas en total y tres medias) mantienen la necesidad de actualizar, aunque el riesgo inmediato sea menor.
El panorama de la ciberseguridad
Los dispositivos de borde —cortafuegos, pasarelas VPN y concentradores de acceso remoto— se han convertido en el punto de entrada preferido del cibercrimen. Son equipos expuestos a internet por diseño, rara vez revisados con la misma frecuencia que el software de escritorio y, cuando caen, abren la puerta a la red corporativa completa. Los balances anuales del INCIBE sitúan la explotación de vulnerabilidades en infraestructuras perimetrales entre las principales vías de entrada de los incidentes graves registrados en España. Y los avisos de severidad alta con explotación confirmada son la señal de alarma más fiable de la que dispone un administrador de sistemas.
La mecánica de CVE-2026-19868 resulta especialmente incómoda para el responsable de seguridad: no exige adivinar una contraseña, sino aprovechar una inconsistencia en el control de acceso entre dos métodos de autenticación. La autenticación multifactor, presentada durante años como la defensa definitiva, deja de serlo si el componente que la aplica lleva el fallo dentro. De ahí que el INCIBE-CERT no hable de recomendación genérica, sino de actualización cuanto antes.
La respuesta institucional está articulada. El INCIBE-CERT, equipo de respuesta del instituto público, publica el aviso de alerta temprana y lo coordina con el fabricante; el CCN-CERT, dependiente del CNI, cubre por su parte las infraestructuras críticas y las administraciones públicas. En el plano de la investigación, la Brigada de Investigación Tecnológica de la Policía Nacional y el Grupo de Delitos Telemáticos de la UCO de la Guardia Civil son las unidades que persiguen la explotación delictiva de este tipo de fallos. Su trabajo en la identificación de campañas sobre dispositivos perimetrales permite cerrar el círculo entre el aviso técnico y la respuesta policial.
El aviso no detalla campañas dirigidas específicamente contra organizaciones españolas. La ventana de exposición, sin embargo, se mide en horas: un cortafuegos sin parchear y con SAML activo es un objetivo verificable desde cualquier punto del planeta. Conviene revisar los registros de acceso del servicio SSL VPN, comprobar la versión de SonicOS equipo por equipo y aplicar la actualización en el orden que marque la criticidad del despliegue. La corrección está disponible. La diferencia entre un incidente contenido y una brecha abierta es el tiempo que se tarde en instalarla.
