SonicWall, CVE-2026-19868 in SonicOS SSLVPN aggira SAML e MFA: possibile sfruttamento

• CVE-2026-19868 (CVSS 7.1) in SonicOS SSLVPN può aggirare SAML e MFA se SAML è attivo
• Serve una credenziale valida per un metodo di login alternativo; possibile sfruttamento in corso
• Colpiti Gen7 e NSv fino a 7.3.3-7015, Gen8 e NSv fino a 8.2.2-8015
• Aggiornare a 7.3.4-7013 (Gen7) o 8.2.3-8015 (Gen8); nessun workaround

SonicWall ha avvisato i clienti di installare al più presto le patch per una vulnerabilità di SonicOS SSLVPN, identificata come CVE-2026-19868 e valutata CVSS 7.1. La falla può permettere di aggirare l’autenticazione SAML e, di conseguenza, i controlli di autenticazione a più fattori (MFA). L’azienda ha indagato su una segnalazione che indica un possibile sfruttamento e raccomanda con forza l’aggiornamento.

Come funziona il problema

Il difetto riguarda SSLVPN solo quando SAML è abilitato per i login. SAML consente di affidare l’accesso degli utenti a un identity provider centrale. In questo caso la debolezza riguarda l’applicazione dei controlli di autenticazione tramite un metodo di accesso alternativo, non un difetto dichiarato di SAML in sé.

Per sfruttarla serve un requisito: l’attaccante deve avere credenziali valide per un metodo di autenticazione alternativo. Non si tratta quindi di un bypass senza account. In queste condizioni le credenziali potrebbero consentire l’accesso senza passare dai controlli SAML pensati per proteggere la connessione. Anche l’MFA applicata tramite SAML potrebbe essere saltata, creando uno scarto tra la policy che gli amministratori ritengono attiva e le verifiche realmente eseguite.

La vulnerabilità è stata segnalata da Ryan Harris di The Electronic Office. Le informazioni disponibili non indicano attori, vittime, date degli attacchi né la portata dell’attività: non è documentata una campagna diffusa confermata. La fonte precisa inoltre che il caso è distinto da CVE-2024-53704, un’altra falla SSLVPN: il suo comportamento non va usato per dedurre come agisca la nuova.

Le altre sei vulnerabilità dell’advisory

L’advisory SonicWall, pubblicato il 6 novembre, ne comprende sette in tutto:

• CVE-2026-107155 e CVE-2026-107154 (CVSS 8.8): riguardano l’interfaccia di gestione, rispettivamente una policy cross-domain permissiva e la validazione della sessione. Possono consentire operazioni non autorizzate in condizioni specifiche e richiedono l’interazione dell’utente.
• CVE-2026-82308 (7.5): heap buffer overflow pre-autenticazione in SSLVPN.
• CVE-2026-77708 e CVE-2026-77709 (5.9 ciascuna): nel client di autenticazione TACACS+, possono causare denial of service a livello applicativo.
• CVE-2026-19703 (5.2): può esporre una credenziale di piattaforma limitata sulle appliance virtuali a chi ha già accesso locale.

Versioni colpite e correzioni

Sono interessati i dispositivi hardware Gen7 e le appliance NSv con SonicOS 7.3.3-7015 o precedente, e i dispositivi hardware Gen8 e NSv con 8.2.2-8015 o precedente. Le correzioni sono nelle versioni 7.3.4-7013 e successive per Gen7 e 8.2.3-8015 e successive per Gen8. Non è indicato alcun workaround.

Cosa fare

• Verificare la generazione dell’appliance e installare la release corretta indicata nell’advisory.
• Rivedere i metodi di autenticazione abilitati.
• Controllare l’attività di login VPN durante l’aggiornamento.
• Non basarsi su indicazioni di patch di vecchi advisory: valgono i requisiti di quello attuale.

Fonte: Cyber Security News · Foto: Cyber Security News