Seguridad · 11 de noviembre de 2026
También publicado en 中文, 日本語, العربية, Indonesia, Deutsch, Français, Polski, Türkçe, Русский, עברית, हिन्दी, ไทย, Italiano, Svenska
SonicWall reporta vulnerabilidad de alta gravedad en SonicOS que permite evadir la autenticación
SonicWall ha identificado una vulnerabilidad de alta gravedad en su sistema operativo de cortafuegos, SonicOS, que permite a los atacantes evadir la autenticación multifactor, MFA. Se ha confirmado que este fallo ha sido explotado en ataques cibernéticos reales.
La vulnerabilidad, identificada como CVE-2026-19868 con una puntuación CVSS de 7.1, afecta al servicio SSL-VPN de los cortafuegos de SonicWall. El problema surge cuando un atacante posee credenciales válidas que pueden usarse en otros métodos de autenticación, lo que le permite saltarse el proceso de autenticación SAML y acceder a la red privada virtual, VPN. Incluso si una empresa ha implementado MFA basado en SAML, el proceso de autenticación puede no aplicarse correctamente, anulando la protección de la autenticación multifactor y permitiendo el acceso a la red interna.
La Agencia de Seguridad de Infraestructura y Ciberseguridad, CISA, ha incluido esta vulnerabilidad en su catálogo de vulnerabilidades explotadas conocidas, KEV. Esta acción confirma la existencia de pruebas de que el fallo ha sido utilizado en ataques reales, aunque no se han revelado detalles sobre la identidad de los atacantes, las empresas afectadas, la magnitud de los daños o si se trató de un ataque de día cero.
Los dispositivos afectados incluyen las series de cortafuegos TZ, NSa, NSsp y NSv. En SonicOS Gen7, las versiones 7.3.3-7015 y anteriores son vulnerables, requiriendo la actualización a la versión 7.3.4-7013 o superior. Para SonicOS Gen8, las versiones 8.2.2-8015 y anteriores están en riesgo, siendo necesaria la actualización a la versión 8.2.3-8015 o superior. SonicWall ha indicado que no existen soluciones temporales oficiales, por lo que la actualización de seguridad es imperativa.
CISA ha exigido que las agencias civiles federales de los Estados Unidos completen las medidas correctivas para esta vulnerabilidad antes del 20 de noviembre. Además de CVE-2026-19868, la actualización de seguridad aborda otras seis vulnerabilidades, incluyendo dos relacionadas con la interfaz de administración del cortafuegos con una puntuación CVSS de 8.8, que podrían permitir a atacantes no autenticados realizar tareas no autorizadas bajo ciertas condiciones.