Día Cero de SonicWall: Por Qué las VPN Heredadas Son un Riesgo en 2026

Este no es un incidente aislado. SonicWall, Cisco, Ivanti y Fortinet han revelado día cero explotados activamente en sus dispositivos de acceso remoto y firewalls durante el último año. El patrón se repite porque la arquitectura se repite: un único equipo expuesto a internet autentica a todos los usuarios remotos y, una vez comprometido, el atacante suele heredar un acceso amplio a todo lo que hay detrás, porque un túnel VPN está diseñado para que un dispositivo remoto se vea como si ya estuviera dentro de la red de confianza.

Estos dispositivos también son operativamente difíciles de mantener. Ejecutan firmware propio del fabricante que no siempre es fácil de parchear con rapidez, están expuestos a un escaneo constante desde internet, y un solo aviso de seguridad pasado por alto puede dejar a una empresa vulnerable durante semanas. Para una empresa con fuerza laboral distribuida o híbrida, una sola puerta de enlace VPN comprometida puede causar más daño que decenas de laptops comprometidas juntas, porque es el punto de paso obligado de toda conexión remota.

Por esto los analistas y fabricantes han impulsado durante 2025 y 2026 el retiro de las VPN basadas en dispositivos, a favor de Zero Trust Network Access (ZTNA), entregado como parte de una arquitectura convergente de SD-WAN y SASE de nivel operador, en lugar de un único equipo en el borde de la red.

También vale la pena notar a quién afectan primero estos incidentes. Los dispositivos SMA1000 se comercializan justamente para las organizaciones que menos pueden permitirse una interrupción o una brecha: grandes empresas, entidades gubernamentales y operadores de infraestructura crítica con obligaciones de cumplimiento estrictas. Cuando el equipo pensado para proteger el acceso remoto se convierte en la puerta de entrada, el impacto ya no se limita a TI: se convierte en una conversación a nivel de junta directiva sobre resiliencia, concentración de proveedores y cuánto depende la red de que una sola pieza de hardware de borde permanezca, al mismo tiempo, sin parchear y sin ser explotada.

Zero Trust Network Access invierte el modelo de la VPN perimetral. En lugar de otorgar un acceso amplio a la red una vez que un dispositivo se autentica, ZTNA verifica la identidad y el contexto de forma continua y otorga acceso a una aplicación específica a la vez. En la práctica, funciona en cuatro pasos.

Primero, cada solicitud de acceso se verifica explícitamente: autenticación multifactor, postura del dispositivo y señales de comportamiento se revisan antes y durante la sesión, no solo al iniciar sesión. Segundo, el acceso se otorga por aplicación y no por red: un empleado de finanzas llega al sistema financiero, no a toda la subred donde vive, lo que elimina el movimiento lateral que hizo tan dañino un incidente como el del SMA1000 de SonicWall. Tercero, los brokers de ZTNA suelen establecer únicamente conexiones salientes desde dentro de la red hacia un broker en la nube, por lo que no hay ningún puerto entrante expuesto en internet para que un atacante lo escanee y explote, como ocurrió con la interfaz Work Place del SMA1000. Cuarto, la microsegmentación y las políticas de privilegio mínimo limitan el radio de impacto incluso si una credencial termina siendo robada.

Toda esta actividad se registra de forma continua y alimenta servicios de detección y respuesta gestionadas, de modo que un centro de operaciones de seguridad puede identificar un comportamiento anómalo en minutos, en lugar de enterarse por un aviso de CISA. La mayoría de las empresas hoy despliegan ZTNA como una capacidad dentro de SASE (Secure Access Service Edge), convergiéndolo con SD-WAN para gestionar conectividad y seguridad como un solo servicio, en lugar de una pila de equipos desconectados entre sí.

Reemplazar los dispositivos VPN heredados por Zero Trust Network Access aporta beneficios que van mucho más allá de cerrar un CVE puntual.

El más inmediato es una superficie de ataque más pequeña: al no haber un dispositivo VPN expuesto a internet, no existe un equivalente a la interfaz Work Place del SMA1000 para que un atacante la escanee y explote. La detección y la respuesta también se vuelven más rápidas, porque el registro continuo de ZTNA alimenta un servicio de SOC, SIEM y MDR disponible 24/7, capaz de aislar una identidad comprometida en minutos en lugar de días. A nivel operativo, los equipos de TI dejan de ejecutar ciclos de parcheo de emergencia cada vez que un fabricante de VPN revela un día cero, porque ya no hay una única versión de dispositivo que rastrear y parchear con urgencia en cada sede.

ZTNA también aplica una política de acceso consistente para empleados remotos, personal híbrido y sucursales por igual, en lugar de un mosaico de perfiles VPN y reglas de firewall por ubicación. Y como cada solicitud de acceso queda registrada individualmente, los reportes de auditoría y cumplimiento se simplifican enormemente frente a reconstruir la actividad a partir de los registros de un dispositivo después de un incidente. Combinado con servicios gestionados de TI más amplios, las empresas suelen reducir al mismo tiempo el riesgo y el costo total de mantener la infraestructura de acceso remoto heredada.

HIT Communications lleva más de 30 años construyendo y protegiendo redes empresariales en América Latina, Estados Unidos y Europa, y el paso desde las VPN heredadas es exactamente el tipo de transición que acompañamos en nuestros clientes.

Nuestra práctica de ciberseguridad —que incluye monitoreo SOC 24/7, SIEM y detección y respuesta gestionadas— está diseñada para sostener un modelo Zero Trust desde el primer día, no para agregarse después de un incidente. Junto con nuestros servicios de conectividad multioperador y SASE/SD-WAN, ayudamos a las empresas a retirar la VPN basada en dispositivos de forma gradual, aplicación por aplicación, sin un fin de semana disruptivo de reemplazo total. Y como el acceso remoto rara vez existe de forma aislada, nuestro equipo de servicios gestionados de TI mantiene el resto del entorno —endpoints, infraestructura en la nube, respaldo— alineado con los mismos principios de Zero Trust.

El resultado es una arquitectura de acceso remoto que ya no depende del estado de los parches de un solo fabricante de dispositivos.

El incidente del SMA1000 de SonicWall no será el último día cero que afecte una VPN perimetral: es simplemente el recordatorio más reciente de que la arquitectura, no la velocidad de parcheo, es la verdadera solución. Las empresas que aún enrutan a todos sus empleados remotos a través de un único dispositivo VPN expuesto a internet están a un solo aviso de seguridad de vivir un fin de semana de emergencia.

Migrar a Zero Trust Network Access, respaldado por un SOC gestionado y una estrategia de conectividad convergente, convierte ese simulacro recurrente en una migración controlada e incremental. Si su organización todavía depende de dispositivos VPN heredados para el acceso remoto, este es el momento de evaluar la exposición, antes de que lo haga el próximo CVE. Hable con HIT Communications sobre una evaluación de Zero Trust y seguridad gestionada a la medida de su red.