SonicWall no parcheará dos fallos en GMS EOL
Dos vulnerabilidades afectan a SonicWall GMS 9.5.2 y anteriores: lectura de archivos sin autenticación (CVSS 9.1) e inyección SQL post-autenticación (6.8). GMS está EOL y no recibirá parches; SonicWall recomienda migrar a NSM.
SonicWall confirmó el 3 de noviembre dos vulnerabilidades en Global Management System (GMS), su plataforma de administración centralizada. Afectan a GMS 9.5.2 y versiones anteriores: una permite leer archivos sin autenticación y la otra admite inyección SQL después de autenticarse. El fabricante califica GMS como fin de vida y afirma que no publicará remedios ni actualizaciones para estos fallos.
-InfraCrew dice: cuando la consola que administra los firewalls se queda sin soporte, el inventario deja de ser una tarea administrativa y pasa a ser parte de la respuesta.-
Dos fallos distintos en una consola de gestión
CVE-2026-109593 permite a un atacante con acceso de red leer archivos internos de GMS sin iniciar sesión. The Hacker News le asigna CVSS 9,1, una puntuación crítica; el impacto descrito es exposición potencial de información guardada en la consola. El aviso no dice que el fallo permita ejecutar código ni que todas las instancias estén expuestas desde Internet: tener acceso a la red del servidor es un requisito distinto de que esté publicado en una red pública.
La segunda vulnerabilidad, CVE-2026-109594, es una inyección SQL posterior a la autenticación. Según el análisis de The Hacker News, bajo condiciones concretas podría permitir a un usuario autenticado acceder o modificar información de la base de datos de GMS; su puntuación es 6,8, de severidad media. No conviene fundir ambos hallazgos en una sola descripción de “RCE”: tienen precondiciones e impactos diferentes.
-InfraCrew dice: el 9,1 merece atención inmediata; no le añade ejecución de código que el aviso no describe.-
La nota de The Hacker News también menciona intentos de ataque contra CVE-2026-102255, otro fallo de SonicWall. Esas cifras no se refieren a los dos CVE de GMS y no deben utilizarse como evidencia de explotación de este aviso. Esta distinción importa porque los tres identificadores pertenecen a productos y problemas distintos: GMS es la consola de administración; CVE-2026-102255 afecta a SMA1000; y una actualización del firmware de un firewall no corrige por sí sola GMS.
Sin parche: el remedio anunciado es cambiar de plataforma
SonicWall indica que GMS está en fin de vida y que no publicará una corrección de seguridad para CVE-2026-109593 ni CVE-2026-109594. No hay un build corregido que instalar ni una rama mantenida que el aviso recomiende conservar. La compañía anima a los clientes a pasar a Network Security Manager (NSM), su plataforma de gestión sucesora.
Para operaciones, el primer paso respaldado es identificar todas las instancias de GMS 9.5.2 o anteriores y confirmar qué equipos y ubicaciones dependen de ellas. El riesgo principal está en el servidor de gestión y los datos que conserva, no en asumir que cada firewall administrado contiene la misma vulnerabilidad. El acceso de red requerido para la lectura de archivos y la autenticación exigida por la SQLi ayudan a priorizar, pero no crean un parche que el fabricante no va a publicar.
La transición a NSM debe tratarse como un cambio de plataforma y de operación, no como una actualización de mantenimiento. El aviso no proporciona una matriz de compatibilidad, un proceso de migración detallado ni condiciones de licencia para cada despliegue. Comprueba esos puntos con la documentación de NSM y el soporte contratado antes de mover la gestión; mientras tanto, no marques GMS como corregido solo porque sus firewalls recibieron firmware nuevo.
-InfraCrew dice: “migrar a la plataforma sucesora” es una dirección; el plan real empieza cuando alguien valida compatibilidad, datos y soporte.-
Diccionario de la Crew
CVE — Identificador público asignado a una vulnerabilidad concreta.
CVSS — Common Vulnerability Scoring System; sistema de puntuación de severidad técnica.
EOL — End of Life; el fabricante retira el producto de su ciclo de vida y deja de ofrecer las correcciones indicadas en su aviso.
GMS — Global Management System; consola de SonicWall para administrar centralmente sus productos de seguridad.
NSM — Network Security Manager; plataforma de gestión sucesora que SonicWall recomienda para reemplazar GMS.
SQL injection — Inyección SQL; entrada manipulada que altera una consulta enviada a una base de datos.
