SonicWall ostrzega przed nową luką w uwierzytelnianiu SSL-VPN wykorzystywaną w atakach

Firma SonicWall wydała aktualizacje bezpieczeństwa, aby naprawić siedem luk w firewallach SonicOS, w tym błąd w omijaniu uwierzytelniania SSL-VPN, który został wykorzystany w atakach. Ta konkretna wada pozwala na obejście kontroli uwierzytelniania SAML, potencjalnie również wymuszonego przez SAML wieloskładnikowego uwierzytelniania, przez atakujących posiadających ważne dane logowania do alternatywnej metody uwierzytelniania.

Luka, śledzona jako CVE-2026-19868, ma ocenę ciężkości CVSS wynoszącą 7,1 i dotyczy wyłącznie usług SSL-VPN w SonicOS skonfigurowanych do używania uwierzytelniania SAML. W komunikacie bezpieczeństwa opublikowanym w piątek SonicWall ostrzegła, że zbadała raport o wykorzystaniu tej wady w ataku i wezwała klientów do zainstalowania najnowszych aktualizacji bezpieczeństwa. Firma podkreśliła, że zespół PSIRT zbadał doniesienia wskazujące na potencjalne wykorzystanie tej luki i pilnie zalecił aktualizację do najnowszej wersji w celu złagodzenia ryzyka.

Lukę odkrył i zgłosił Ryan Harris z The Electronic Office. Choć SonicWall nie udostępniła szczegółów dotyczących zgłoszonego wykorzystania, amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała CVE-2026-19868 do katalogu znanych luk wykorzystywanych w praktyce, potwierdzając, że wada była eksploatowana w środowisku rzeczywistym. CISA nakazała agencjom federalnym cywilnego rządu wykonawczego zabezpieczenie dotkniętych systemów do 20 listopada 2026 roku.

Komunikat naprawia również sześć dodatkowych luk w SonicOS, w tym dwie wady w interfejsie zarządzania o ocenie ciężkości 8,8, które pozwalają na nieautoryzowane operacje przez atakujących bez uwierzytelnienia w określonych warunkach. Pozostałe luki obejmują przepełnienia bufora przed uwierzytelnieniem w usługach SSL-VPN i TACACS+, które mogą prowadzić do odmowy usługi, oraz wadę słabego hashowania haseł wpływającą na wirtualne urządzenia. Problemy dotyczą wersji SonicOS Gen7 7.3.3-7015 i wcześniejszych oraz Gen8 8.2.2-8015 i wcześniejszych. SonicWall naprawiła problemy w wersjach 7.3.4-7013 i 8.2.3-8015 i stwierdziła, że nie są dostępne żadne obejścia.

Ostrzeżenie pojawia się po serii ataków na urządzenia SMA1000 do bezpiecznego zdalnego dostępu. W październiku badacze bezpieczeństwa wykryli próby wykorzystania CVE-2026-102255, luki o maksymalnej ciężkości, która mogła umożliwić nieautoryzowany dostęp do wewnętrznych funkcji. Te próby nastąpiły po atakach z września, które łączyły dwa zero-daye SMA1000, aby osiągnąć zdalne wykonanie kodu, oraz atakach z lipca, które wykorzystywały dwa inne zero-daye do wdrożenia złośliwego oprogramowania.