Wykryto lukę w SonicWall SSL-VPN umożliwiającą pominięcie uwierzytelniania wieloskładnikowego

people using phone while standing — camilo jimenez / Unsplash

W systemie operacyjnym SonicOS firmy SonicWall zidentyfikowano lukę o wysokim stopniu ryzyka, która pozwala na obejście uwierzytelniania wieloskładnikowego, MFA. Potwierdzono, że błąd ten był wykorzystywany w rzeczywistych cyberatakach.

Podatność oznaczona jako CVE-2026-19868 posiada wynik CVSS na poziomie 7,1. Dotyczy ona usługi SSL-VPN w zapórach ogniowych SonicWall. Atakujący, który posiada ważne dane konta używane w innej metodzie uwierzytelniania, może pominąć procedurę uwierzytelniania SAML i uzyskać dostęp do sieci VPN. Problem polega na tym, że nawet jeśli firma wdrożyła MFA w oparciu o SAML, procedura ta nie jest prawidłowo wymuszana, co umożliwia dostęp do wewnętrznej sieci korporacyjnej przy użyciu skradzionych danych.

Luka nie pozwala na dostęp bez żadnych poświadczeń, ponieważ wymaga posiadania ważnych danych z innego systemu uwierzytelniania i aktywnej funkcji SAML w SSL-VPN. Ryan Harris z The Electronic Office zgłosił ten błąd. SonicWall opublikowała zalecenia bezpieczeństwa 6 listopada, po zbadaniu raportów o możliwym wykorzystaniu luki. CISA dodała CVE-2026-19868 do swojego katalogu znanych wykorzystywanych podatności, KEV, co potwierdza istnienie dowodów na ataki. Tożsamość sprawców, konkretne ofiary oraz skala szkód nie zostały ujawnione, podobnie jak informacja, czy był to atak typu zero day.

Podatność dotyczy urządzeń z serii TZ, NSa, NSsp oraz NSv. W przypadku SonicOS Gen7 zagrożone są wersje 7.3.3-7015 i starsze, a wymagana aktualizacja to wersja 7.3.4-7013 lub nowsza. W SonicOS Gen8 podatne są wersje 8.2.2-8015 i starsze, a zalecana jest wersja 8.2.3-8015 lub nowsza. SonicWall nie udostępniła tymczasowych rozwiązań alternatywnych. CISA nakazała amerykańskim federalnym agencjom cywilnym wdrożenie środków zaradczych do 20 listopada.

Ostatnia aktualizacja bezpieczeństwa naprawia również sześć innych luk. Dwie z nich, o wyniku CVSS 8,8, dotyczą interfejsu zarządzania zaporą ogniową i mogą pozwolić nieuwierzytelnionemu atakującemu na wykonanie nieautoryzowanych operacji w określonych warunkach.