10 sobre 10: cuando el aparato que te protege es la puerta de entrada

Hay un tipo de noticia de seguridad que se repite con una regularidad casi cómica, si no diera tanto que pensar: el aparato que una empresa compra para protegerse resulta ser, él mismo, el agujero por el que se cuelan. Esta semana le ha tocado a SonicWall, pero podría haber sido cualquier otro. Y ahí está justo lo interesante.

Qué ha pasado

SonicWall (un fabricante conocido de equipos de seguridad) ha reconocido dos fallos en sus aparatos SMA 1000. Estos cacharros son, básicamente, la puerta de acceso remoto de muchas empresas: la caja que se pone en el borde de la red para que los empleados puedan conectarse desde casa "de forma segura". Su único trabajo es dejar entrar a los buenos y frenar a los malos.

Uno de los fallos (catalogado como CVE-2026-83548) se ha llevado la nota máxima: un 10 sobre 10 en la escala de gravedad. Permite que alguien desde fuera, sin usuario ni contraseña, haga que el propio aparato realice peticiones que no debería. Y encadenado con un segundo fallo, se puede llegar a ejecutar código en el equipo sin haber iniciado sesión nunca. Traducido: un desconocido, desde internet, tomando el control de la caja que guarda la puerta.

Por si fuera poco, no es teoría: se está explotando ahora mismo, y se hizo antes de que existiera parche (lo que se llama un zero-day). Cuando SonicWall publicó el aviso, los ataques ya estaban en marcha, y la agencia de ciberseguridad estadounidense lo metió de urgencia en su lista de fallos que hay que corregir sí o sí.

La paradoja del guardián

Lo llamativo no es que un producto tenga un fallo (los tienen todos). Lo llamativo es dónde está el fallo: en la pieza cuya razón de existir es la seguridad. Es como descubrir que la cerradura de máxima seguridad que instalaste en la puerta se abre soplándole.

Y no es casualidad. Si te paras a pensarlo, un aparato de seguridad en el borde de la red es, para un atacante, el objetivo más goloso que existe:

Piénsalo: es un aparato que está expuesto a internet a propósito (tiene que estarlo, para que puedas conectarte desde fuera), que tiene las llaves de la red interna (para eso da acceso), del que todo el mundo se fía (se compró precisamente para estar seguros, así que rara vez se le mira con lupa) y que, encima, suele ser una caja negra: un cacharro cerrado, con su propio sistema, difícil de auditar y de vigilar por dentro. Expuesto, poderoso y de confianza. Es, literalmente, el premio gordo.

Por eso cuando aparece un fallo en uno de estos equipos, los atacantes se lanzan en cuestión de horas. No están reventando una puerta cualquiera: están reventando la garita del vigilante, y desde ahí se ve toda la casa.

No es (ni de lejos) solo SonicWall

Si esta historia te suena, es porque la has leído ya con otros nombres. Los últimos años han sido un goteo constante de fallos graves en exactamente este tipo de aparatos: los equipos de acceso remoto de Ivanti, los cortafuegos de Fortinet, los balanceadores de Citrix (aquel famoso "CitrixBleed"), las pasarelas de Palo Alto… Cambia la marca, se repite el guion.

Esto no es para señalar a un fabricante concreto, sino para ver el patrón: el mercado de los aparatos de seguridad tiene un problema estructural. Son productos complejos, difíciles de actualizar, que las empresas instalan una vez y olvidan durante años, y que están expuestos justo donde más duele. Un caldo de cultivo perfecto. Y mientras la industria siga tratando estas cajas como "compras y te despreocupas", el patrón va a seguir.

La lección incómoda

Aquí está el fondo del asunto, y va más allá de SonicWall: añadir una caja de seguridad no es lo mismo que ser más seguro. A veces es, sencillamente, añadir una puerta más que alguien tiene que vigilar.

No digo que estos aparatos sean malos ni que haya que tirarlos (cumplen una función real y necesaria). Lo que digo es que no son magia. Comprar un producto con la palabra "seguro" en el nombre y colgarlo de internet no cierra el problema: lo concentra en un único punto muy jugoso. Y ese punto, como cualquier otro software, tiene fallos, necesita mantenimiento y hay que vigilarlo como al que más… precisamente porque es el que tiene las llaves.

Qué se puede hacer

La buena noticia es que, aunque no puedas evitar que un fabricante tenga un fallo, sí puedes hacer mucho para que ese fallo no te cueste la red entera:

• Parchea en cuanto salga el arreglo. En estos casos, entre que se publica el fallo y que empiezan a explotarlo masivamente pasan horas, no semanas. El "ya lo actualizaré con calma" es justo la ventana que aprovechan. (Para el SMA 1000, SonicWall ya ha publicado las versiones corregidas: toca ponerlas.)
• No abras la administración a todo el mundo. Muchas de estas cajas no necesitan tener su panel de control accesible desde cualquier rincón de internet. Cuanto más restrinjas quién puede siquiera llamar a la puerta, menos gente puede intentar forzarla.
• Segmenta la red. Si el aparato cae, que el atacante no se encuentre con la casa entera abierta al otro lado. Separar en zonas hace que un pie dentro no sea automáticamente un pie en todo.
• Vigila y guarda registros. Estos ataques dejan rastro: conexiones raras, peticiones extrañas, comportamientos que no encajan. Tener logs y alguien (o algo) mirándolos es la diferencia entre detectar la intrusión a tiempo o enterarte semanas después.

Y una idea de fondo que aplica a todo: trata cada aparato que cuelgas de internet como lo que es, una puerta, no como una pared. Las puertas hay que elegirlas bien, cerrarlas y vigilarlas. Sobre todo la que has puesto, precisamente, para guardar las demás.

El fondo del asunto

Da un poco de vértigo, lo sé: si hasta el aparato de seguridad falla, ¿de qué te fías? Pues de lo de siempre, que aburre pero funciona: no confiar en una sola caja, mantener todo actualizado y asumir que cualquier pieza puede fallar (y montar las cosas para que, cuando una falle, no se lleve por delante a todas las demás).

La seguridad nunca fue comprar el cacharro correcto y olvidarse. Es un hábito, no un producto. Y esta semana, una vez más, nos lo han recordado con un 10 sobre 10.