Már kihasználják a SonicOS hibáját, amely megkerülheti a többtényezős belépést

A CVE-2026-19868 azonosítójú sérülékenység a SonicOS SSL-VPN szolgáltatását érinti, ha azon bekapcsolták a SAML-alapú hitelesítést. Az SSL VPN-hez a felhasználók webböngészővel kapcsolódhatnak, a böngésző és az eszköz közötti forgalmat SSL/TLS titkosítja.

A hiba kihasználásához egy másik azonosítási módhoz tartozó, érvényes hitelesítő adatok szükségesek. Ezek birtokában a támadó megkerülheti a SAML ellenőrzéseit, és a SAML által előírt többtényezős hitelesítést is. Utóbbi normál esetben egynél több, különböző típusú tényezőt kér a belépéshez.

A SonicWall közlése szerint a vállalat biztonsági csapata megvizsgált egy jelentést, amely a hiba lehetséges kihasználására utalt. A CISA november 6-án felvette a sérülékenységet a bizonyítottan kihasznált hibák listájára.

Az érintett Gen7 tűzfalakon a SonicOS 7.3.3-7015 és korábbi verziói, a Gen8 eszközökön a 8.2.2-8015 és korábbi verziói szerepelnek a figyelmeztetésben. A javított kiadás a Gen7 esetében a 7.3.4-7013, a Gen8 esetében a 8.2.3-8015.

A Gen7 eszközök közül a TZ, NSa, NSsp és NSv tűzfalak érintettek, a Gen8 családból pedig a TZ, NSa és NSv modellek. A SAML-bejelentkezés a sérülékeny SSL-VPN szolgáltatás feltétele; a hiba kihasználásához emellett az alternatív azonosító adatokra is szükség van.

A SonicWall azt javasolja, hogy az ügyfelek a lehető leghamarabb frissítsenek. A beszámoló szerint a hibához nem áll rendelkezésre kerülő megoldás.

Az NKI magas súlyosságúnak és kiemelt prioritásúnak minősíti a hibát. Soron kívüli intézkedést, 72 órán belüli frissítést javasol, addig pedig a kihasználásra utaló jelek figyelését kéri.

Az NKI adatlapján a CVSS-pontszám 7,5. Ez a skála a sérülékenység műszaki súlyosságát jelzi, önmagában nem azt, hogy visszaéltek-e vele. A CISA az érintett amerikai szövetségi szerveknek 2026. november 20-át adta meg javítási határidőként; ez nem magyar határidő.

A SonicWall figyelmeztetése összesen hét sérülékenységet ismertet. Kettő a kezelőfelületet érinti: bizonyos körülmények között egy távoli támadó bejelentkezés nélkül végezhet jogosulatlan műveleteket.

A többi között az SSL-VPN és a TACACS+ szolgáltatást érintő hibák is szerepelnek, amelyek szolgáltatásmegtagadást okozhatnak. Egy további gyengeség a virtuális eszközök jelszókezelését érinti. A gyártó figyelmeztetése a másik hat hibát nem jelöli kihasználtként.