SonicWall GMS afectado por dos vulnerabilidades críticas de ejecución remota de código sin autenticación en todas las versiones hasta la 9.5.1

SonicWall ha revelado dos vulnerabilidades críticas de ejecución remota de código en su producto Global Management System (GMS), ambas explotables sin autenticación. Los fallos, publicados hoy por SecurityOnline, afectan a la versión GMS 9.5.1 y todas las anteriores — un producto ampliamente desplegado por proveedores de servicios gestionados y equipos de IT empresariales para gestionar centralmente los parques de firewalls de SonicWall.

Qué hacen las vulnerabilidades

CVE-2026-66147, puntuada con CVSS 9.4, es una vulnerabilidad de inyección de comandos no autenticada en el GMS Dispatcher Service. Un atacante remoto puede enviar una solicitud especialmente diseñada para ejecutar comandos arbitrarios en el sistema operativo subyacente — sin necesidad de credenciales. La vulnerabilidad se clasifica bajo CWE-94 (Control inadecuado de la generación de código).

La segunda vulnerabilidad, CVE-2026-66145, tiene una puntuación CVSS de 9.1 y se describe de manera similar como una vulnerabilidad de ejecución remota de código no autenticada en el mismo producto. La proximidad de los números CVE y el producto compartido sugieren que ambos problemas fueron identificados en el mismo esfuerzo de investigación de seguridad.

Por qué es grave

GMS no es un firewall — es el plano de gestión que se sitúa por encima de los firewalls. Un compromiso aquí significa que un atacante obtiene control sobre toda la infraestructura de gestión de red: políticas de firewall, configuraciones de VPN, reglas de acceso de usuarios y registros. Este nivel de acceso podría permitir a un adversario reconfigurar silenciosamente las defensas de la red, abrir puertas traseras o profundizar en una organización sin activar alertas.

La naturaleza no autenticada de ambos exploits significa que los atacantes no necesitan credenciales robadas para activarlos. Cualquier instancia de GMS expuesta a internet — o alcanzable desde un segmento de red comprometido — es un objetivo viable.

Qué hacer

SonicWall ha dirigido a las organizaciones afectadas a consultar su portal de avisos PSIRT en psirt.global.sonicwall.com para obtener orientación específica sobre parches. Los administradores que ejecuten GMS 9.5.1 o versiones anteriores deben tratar esto como un parche de emergencia y priorizar las actualizaciones. Si no es posible aplicar el parche de inmediato, restringir el acceso de red a la interfaz de gestión de GMS a rangos de IP de confianza es un paso provisional crítico.

Las organizaciones también deben revisar los registros de auditoría de GMS en busca de actividad inusual en el Dispatcher desde el 24 de julio de 2026 — fecha en que se reservaron los CVE — como medida de precaución contra la explotación previa al parche.