SonicWall ha avisado a sus clientes de dos vulnerabilidades en Global Management System (GMS), su antigua consola de gestión centralizada, que no tendrán parche porque el producto ha llegado al fin de su vida útil. Si su organización sigue usando GMS 9.5.2 o una versión anterior, convive con un riesgo conocido que el fabricante ya no va a corregir.
Para las empresas españolas, y en especial para las del sector financiero, el caso ilustra un problema habitual: los activos obsoletos que siguen en producción porque «funcionan».
Qué ha comunicado SonicWall
Según informa BleepingComputer, las dos vulnerabilidades afectan a GMS 9.5.2 y versiones anteriores, y fueron descubiertas y notificadas por investigadores de Pentest-Tools. GMS permite a los administradores desplegar y gestionar desde una única interfaz miles de dispositivos de seguridad de SonicWall. El fabricante lo ha sustituido por Network Security Manager (NSM).
- CVE-2026-109593: permite a un atacante sin autenticar, pero con acceso de red a la instancia vulnerable, leer archivos internos y robar información sensible.
- CVE-2026-109594: permite a un atacante con privilegios elevados acceder a la información de la base de datos de GMS o modificarla mediante ataques de inyección SQL de baja complejidad.
El fabricante lo dice sin ambigüedades. En su aviso, según la fuente, afirma que, al ser un producto en fin de vida, no se publicará ninguna corrección ni actualización de seguridad, y recomienda encarecidamente migrar a NSM (traducción nuestra).
Por qué importa más de lo que parece
Una consola de gestión centralizada concentra información delicada sobre la infraestructura de seguridad de la organización: configuraciones, políticas y datos de los equipos que protegen el perímetro. Por eso el primer fallo, que no exige autenticación, merece atención aunque el segundo requiera privilegios altos.
El contexto tampoco ayuda. BleepingComputer recuerda que los atacantes se fijan a menudo en las vulnerabilidades de SonicWall y que han explotado varias como zero-day en lo que va de año, entre ellas fallos en SMA1000. Además, en los últimos cuatro años la agencia estadounidense CISA ha incluido 19 vulnerabilidades de SonicWall en su catálogo de fallos explotados activamente, y 13 de ellas también han sido utilizadas por grupos de ransomware.
Conviene ser precisos: la noticia no indica que estas dos vulnerabilidades de GMS se estén explotando en ataques. Pero sin parche, la exposición solo puede reducirse con medidas de contención o con la migración.
La base instalada es amplia. SonicWall afirma dar servicio a más de 500.000 clientes en más de 215 países y territorios, a través de más de 17.000 socios. Es razonable pensar que quedan instalaciones de GMS en entornos que no se han revisado en años.
El riesgo del software fuera de soporte en el entorno regulado
Un producto sin soporte no es solo un problema técnico, también es de gobierno y cumplimiento. Marcos como DORA en el sector financiero o NIS2 en sectores esenciales e importantes exigen gestionar el riesgo de los activos TIC y de la cadena de suministro tecnológica. Mantener en producción un componente con vulnerabilidades conocidas y sin posibilidad de corrección es difícil de justificar ante un auditor o un supervisor, sobre todo si gestiona la seguridad de otros sistemas.
A esto se suma un efecto práctico. Cuando un fabricante declara el fin de vida de un producto, cada nueva vulnerabilidad que se descubre se queda sin corregir para siempre.
Qué deberían hacer las empresas ahora
- Localizar GMS en su entorno. Compruebe si existe alguna instancia, también en delegaciones, filiales o entornos heredados gestionados por terceros, y qué versión ejecuta.
- Limitar la exposición. Mientras dure la migración, restrinja el acceso de red a la consola a segmentos de administración, no la exponga a internet y revise quién tiene cuentas con privilegios altos.
- Planificar la migración a NSM. Es la vía que recomienda SonicWall. Defina plazos, dependencias y ventana de cambio con criterios de riesgo, no solo de calendario.
- Vigilar y registrar. Refuerce la monitorización de accesos y consultas anómalas a la consola y a su base de datos hasta que se retire.
- Revisar el inventario de fin de vida. Este caso es una buena ocasión para identificar otros productos que hayan perdido o vayan a perder el soporte, y para documentar excepciones aprobadas con medidas compensatorias.
Cómo puede ayudar CGC
En CGC Spain acompañamos a equipos de seguridad, IT y cumplimiento en tareas como estas: inventariar activos y detectar los que están fuera de soporte, evaluar su exposición real, diseñar planes de migración y medidas de contención, y alinear todo ello con los requisitos regulatorios aplicables. Si necesita contrastar el estado de su plataforma de gestión de seguridad o preparar una migración ordenada, estaremos encantados de revisarlo con usted.
Fuente: BleepingComputer, «SonicWall warns of unpatched flaws in end-of-life GMS software».
