SonicWall corrige falha de VPN explorada que burlava MFA via SAML
A SonicWall corrigiu a falha CVE-2026-19868 no SSL VPN do SonicOS: um usuário com credenciais válidas de outro método de autenticação podia burlar os controles SAML, inclusive a MFA exigida por SAML. A CISA adicionou a falha ao catálogo KEV, o que indica exploração confirmada, com prazo federal em 20 de novembro de 2026. As versões 7.3.4-7013 e 8.2.3-8015 resolvem o problema e não há soluções alternativas; atualize os firewalls afetados.
O que aconteceu
A SonicWall liberou correção para uma falha no serviço de VPN de acesso remoto de seus firewalls. A falha permitia burlar a autenticação SAML, incluindo a verificação de segundo fator (MFA). A CISA, agência de cibersegurança dos EUA, confirma uso em ataques.
Por que importa
Com credenciais válidas de outro método de login, um invasor entrava na VPN sem passar pela MFA e ganhava acesso remoto à rede interna. O risco existe nas firewalls com login SAML habilitado na SSL VPN. Órgãos federais dos EUA têm prazo de 20 de novembro de 2026 para corrigir.
O que fazer
Atualize já para SonicOS 7.3.4-7013 (Gen7) ou 8.2.3-8015 (Gen8); não há solução alternativa. Revise contas, sessões e logs da SSL VPN em busca de acessos anormais.
Para o time técnico
- CVE
- CVE-2026-19868
- Afetados
- SonicWall SonicOS SSLVPN (VPN de acesso remoto em firewalls SonicWall) · Gen7 TZ, NSa, NSsp e NSv com SonicOS 7.3.3-7015 ou anterior; Gen8 TZ, NSa e NSv com SonicOS 8.2.2-8015 ou anterior.
- Exploração
- CISA adicionou a falha ao KEV no mesmo dia do advisory da SonicWall (6 de novembro de 2026), com prazo federal em 20 de novembro; a SonicWall investigou um relato de exploração potencial. Uso em ransomware: desconhecido, segundo a CISA. Nem a SonicWall nem a CISA detalharam os ataques suspeitos; não está claro se houve exploração como zero-day.
- Correção
- SonicOS 7.3.4-7013 e 8.2.3-8015 resolvem a falha. Não há workarounds; a SonicWall pede upgrade imediato para a versão mais recente.
- Vetor
- Componente SSL VPN do SonicOS. Vulnerabilidade de uso de autenticação de fator único (CVE-2026-19868, CVSS 7.1): usuário com credenciais válidas de método de autenticação alternativo burla os controles SAML e também a MFA exigida por SAML. Condição: login baseado em SAML habilitado no SSL VPN.
- Mais detalhes
- Falha relatada por Ryan Harris, da The Electronic Office. Integra advisory de 6 de novembro com sete vulnerabilidades; nenhuma das outras seis está marcada como explorada. Duas, com CVSS 8.8, afetam a interface de gerenciamento (política de domínio cruzado permissiva e falha de validação de sessão) e, em certas circunstâncias, podem ser abusadas remotamente sem login. Três são buffer overflows de pré-autenticação no SSL VPN e no cliente TACACS+, usáveis para DoS em nível de aplicação. A última é hash de senha fraco em appliances virtuais: atacante com acesso local de alto privilégio pode obter credencial da plataforma.
Linha do tempo
SonicWall publica correção para a falha CVE-2026-19868 no SSL-VPN do SonicOS.
CISA lista a falha no KEV, o que indica exploração confirmada, com prazo federal em 20 de novembro de 2026.
Fontes 2 fontes
- CVE-2026-19868: SonicWall SonicOS SSLVPN (SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability) CISA KEV
- SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins SecurityWeek
