Már kihasználják a SonicOS hibáját, amely a többtényezős belépést is megkerülheti
Érvényes, más hitelesítési módhoz tartozó belépési adatokkal megkerülhető a SAML által kikényszerített többtényezős hitelesítés is a SonicWall SonicOS SSLVPN szolgáltatásában. A CISA szerint a hibát már kihasználják, az NKI pedig soron kívüli frissítést javasol.
Frissítés (2026. november 7.): újabb cikkünk az ügyről
Már kihasználják a SonicOS hibáját, amely megkerülheti a többtényezős belépést
Másik hitelesítési módhoz tartozó adatokkal élhetnek vissza
A CVE-2026-19868 azonosítójú sérülékenység a SonicOS SSLVPN szolgáltatásának hitelesítését érinti. A CISA leírása szerint az a felhasználó, akinek érvényes belépési adatai vannak egy másik hitelesítési módhoz, megkerülheti a SAML-alapú ellenőrzéseket.
Sikeres kihasználás esetén a SAML által kikényszerített többtényezős hitelesítés is megkerülhető. Ez az a belépési módszer, amely egynél több, különböző típusú tényezőt kér a felhasználótól.
Ezeket a SonicOS-verziókat érinti
Az NKI a SonicOS 7.3.3-7015 és korábbi, valamint a 8.2.2-8015 és korábbi verzióit sorolja az érintettek közé. A sérülékenységet magas súlyosságúnak és kiemelt prioritásúnak minősítette. A műszaki súlyosságot jelző CVSS-pontszám 7,5.
Az NKI adatlapja gyártói közleményre is hivatkozik, és annak áttekintését javasolja. Javított verziószámot az adatlap nem nevez meg.
Az NKI 72 órán belüli frissítést javasol
A magyar figyelmeztetés soron kívüli intézkedést ajánl: a szoftvert 72 órán belül frissíteni kellene. Addig az NKI a kihasználásra utaló jelek figyelését és - ha elérhető - a gyártó által javasolt kerülő megoldás alkalmazását ajánlja.
A CISA 2026. november 6-án vette fel a hibát a ténylegesen kihasznált sérülékenységek listájára. Az ott szereplő 2026. november 20-i javítási határidő az amerikai szövetségi szervekre vonatkozik, nem az NKI magyarországi ajánlása.
Az ügy eddig
- Már kihasználják a SonicOS hibáját, amely a többtényezős belépést is megkerülheti (ez a cikk)
- Már kihasználják a SonicOS hibáját, amely megkerülheti a többtényezős belépést
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum