SonicWall heeft een ernstige kwetsbaarheid in SonicOS SSL VPN gepatcht die SAML-authenticatie kan omzeilen en mogelijk al werd misbruikt.
SonicWall heeft een kwetsbaarheid in SonicOS verholpen die het mogelijk maakt om SAML-authenticatie te omzeilen. Het bedrijf waarschuwt klanten dat de fout mogelijk al is uitgebuit in aanvallen. De kwetsbaarheid, geregistreerd als CVE-2026-19868, treft de SSL VPN-component van SonicOS, het besturingssysteem van SonicWall-firewalls. Het is een van de zeven kwetsbaarheden die zijn beschreven in een advisory van 6 november.
Volgens SonicWall kan een gebruiker met geldige inloggegevens voor een alternatieve authenticatiemethode via deze kwetsbaarheid de SAML-authenticatie omzeilen. Dit kan ook de multi-factor authenticatie (MFA) die via SAML wordt afgedwongen, passeren. De kwetsbaarheid is alleen aanwezig als SAML-gebaseerde login is ingeschakeld. Met een CVSS-score van 7.1 valt de fout in de categorie hoog risico. De kwetsbaarheid werd gemeld door Ryan Harris van The Electronic Office.
SonicWall meldt dat het product security team een melding heeft onderzocht die wijst op mogelijke exploitatie van deze kwetsbaarheid. Op dezelfde dag voegde het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-19868 toe aan de lijst met Known Exploited Vulnerabilities (KEV). Federale agentschappen moeten deze kwetsbaarheid volgens Binding Operational Directive 26-04 uiterlijk 20 november mitigeren.
Het is niet bekend of de kwetsbaarheid als zero-day is misbruikt voordat een patch beschikbaar was, en noch SonicWall noch CISA heeft details gedeeld over vermoedelijke aanvallen. Getroffen apparaten zijn onder meer Gen7 TZ, NSa, NSsp en NSv firewalls met SonicOS 7.3.3-7015 of ouder, en Gen8 TZ, NSa en NSv firewalls met SonicOS 8.2.2-8015 of ouder. De kwetsbaarheid is opgelost in SonicOS versies 7.3.4-7013 en 8.2.3-8015. Er zijn geen workarounds beschikbaar, waardoor SonicWall klanten dringend adviseert om zo snel mogelijk te upgraden.
De overige zes kwetsbaarheden in de advisory zijn niet als geëxploiteerd gemarkeerd. Twee daarvan, met een CVSS-score van 8.8, betreffen de SonicOS managementinterface. Het gaat om een permissief cross-domain policy probleem en een sessievalidatiefout, die onder bepaalde omstandigheden door een externe aanvaller zonder inloggen kunnen worden misbruikt om ongeautoriseerde acties uit te voeren. Drie andere kwetsbaarheden zijn buffer overflows vóór authenticatie in de SSL VPN-service en de TACACS+ authenticatieclient, waarmee denial-of-service aanvallen op applicatieniveau mogelijk zijn. De laatste betreft een zwakke wachtwoordhashing in virtuele appliances, die een aanvaller met hoge lokale rechten kan gebruiken om platformcredentials te verkrijgen en zo toegang te krijgen tot bepaalde instellingen.
Kwetsbaarheden in SonicWall-producten worden regelmatig door dreigingsactoren misbruikt. Het CISA KEV-catalogus bevat momenteel twintig beveiligingslekken voor SonicWall, waaronder recentere kwetsbaarheden die kort na openbaarmaking al werden aangevallen.
