SonicWall opublikował komunikat w piątek 6 listopada 2026 roku dotyczący CVE-2026-19868, luki w egzekwowaniu uwierzytelniania w usłudze SSL-VPN systemu SonicOS. CISA dodała ją tego samego dnia do katalogu znanych wykorzystywanych podatności, z terminem usunięcia wyznaczonym na 20 listopada.
Sam SonicWall pisze, że luka może pozwolić użytkownikowi „obejść mechanizmy uwierzytelniania SAML", a udane wykorzystanie może również ominąć MFA wymuszane przez ten proces logowania.
Istotność podawana jest jako CVSS 7,1 lub 7,5, zależnie od źródła, z oceną wysoką. U podstaw leży CWE-308, czyli użycie uwierzytelniania jednoskładnikowego. Lukę znalazł i zgłosił Ryan Harris z firmy Electronic Office.
To nie jest obejście bez uwierzytelnienia. Napastnik musi najpierw dysponować ważnymi poświadczeniami do alternatywnej metody uwierzytelniania. To znacząco obniża ryzyko i wcale go nie usuwa, bo skradzione poświadczenia są najpowszechniejszym towarem w cyberprzestępczości.
SonicWall informuje, że zbadał zgłoszenie wskazujące na możliwe wykorzystanie luki, i nie opublikował żadnych szczegółów ataków. Biuletyn HKCERT z 9 listopada mówi o aktywnej eksploatacji. Publicznie nie istnieją żadne liczby poszkodowanych.
Czy Cię to dotyczy?
Trzy warunki, wszystkie wymagane:
1. Używasz zapory SonicWall Gen7 lub Gen8, fizycznej albo wirtualnej.
2. W usłudze SSL-VPN włączono SAML do logowania. SonicWall pisze wprost, że luka dotyczy wyłącznie sytuacji, „gdy SAML jest włączony dla logowań SSLVPN". Jeśli Twój SSL-VPN nie korzysta z SAML, ta konkretna luka Cię nie dosięga.
3. Działasz na podatnej wersji oprogramowania układowego:
Generacja | Podatne | Poprawione |
|---|---|---|
Gen7 | 7.3.3-7015 i starsze | 7.3.4-7013 |
Gen8 | 8.2.2-8015 i starsze | 8.2.3-8015 |
Jeśli wszystkie trzy warunki są spełnione, traktuj urządzenie jako narażone do czasu wgrania poprawki i przejrzenia logów.
Napraw to
Zaktualizuj teraz. Gen7 do 7.3.4-7013, Gen8 do 8.2.3-8015. Te same wydania usuwają sześć innych luk w SonicOS, obejmujących obejście ograniczeń bezpieczeństwa, odmowę usługi i ujawnienie wrażliwych informacji.
Nie ma obejścia. SonicWall żadnego nie podaje i nie podaje go też żaden komunikat. Jedynym mechanizmem kontrolnym jest aktualizacja.
Jeśli naprawdę nie możesz dziś załatać, jedynym sensownym ograniczeniem ryzyka jest odcięcie SSL-VPN od niezaufanych sieci do czasu aktualizacji, co dla większości organizacji oznacza wyłączenie zdalnego dostępu.
Termin 20 listopada wiąże amerykańskie cywilne agencje federalne. Dla wszystkich pozostałych jest rozsądną datą do przyjęcia, skoro luka jest potwierdzona jako wykorzystywana i siedzi na bramie dostępnej z internetu.
Sprawdź, czy już się wydarzyło
Ten krok wykonuje się równolegle z aktualizacją, a nie po niej. Luka jest wykorzystywana, a załatanie zamyka drzwi, nie mówiąc Ci, czy ktoś przez nie wszedł.
Sygnatura jest prosta. Na bramie, gdzie SAML jest wymuszany, udane logowanie do SSL-VPN, które nie użyło SAML, nie powinno w ogóle istnieć. Publikowane wytyczne detekcyjne wskazują na zdarzenia logowania SSL-VPN w SonicOS o identyfikatorze 1080, w których metoda uwierzytelniania jest inna niż SAML.
Zestaw ze sobą dwa źródła logów. Porównaj zapisy uwierzytelnień i sesji na urządzeniu SonicOS z logami logowań u swojego dostawcy tożsamości SAML. Szukasz sesji VPN, której nie odpowiada żadne uwierzytelnienie po stronie dostawcy tożsamości.
Wyznacz okno przeglądu z zapasem. SonicWall nie podał, kiedy zaczęła się eksploatacja, a jedynie że zbadał zgłoszenie. Cofnij się w logach tak daleko, jak pozwala retencja, a nie do daty komunikatu.
Jeśli coś znajdziesz, potraktuj to jako kompromitację konta, a nie problem z urządzeniem. Napastnik dysponował ważnymi poświadczeniami do jakiejś alternatywnej metody, więc to konto jest skompromitowane niezależnie od zapory. Zresetuj je, unieważnij sesje i sprawdź, do czego mogło dotrzeć wewnątrz sieci.
Dlaczego ta luka waży więcej niż jej punktacja
Ocena 7,1 nie wygląda alarmująco obok dziewiątek, które opisywaliśmy ostatnio. Trzeba ją czytać inaczej, z trzech powodów.
Uderza w mechanizm, któremu ludzie ufają najbardziej. Uwierzytelnianie wieloskładnikowe to środek, na który wskazuje większość organizacji zapytana, jak chroni zdalny dostęp. Tutaj MFA było skonfigurowane, wymuszane przez SAML i mimo to ominięte. Zabezpieczenie istniało i nie miało zastosowania.
Bramy VPN to dostęp początkowy. To nie jest luka dająca przyczółek na jednej stacji roboczej. Daje uwierzytelnioną sesję VPN, wewnątrz sieci, jako legalne konto. Wszystko, do czego to konto ma dostęp, staje się osiągalne.
Warunkiem wstępnym jest kradzież poświadczeń, a poświadczeń jest wszędzie pełno. Wymóg posiadania ważnych poświadczeń do alternatywnej metody brzmi jak istotna bariera. Zestawiony z ekosystemem infostealerów, giełdami poświadczeń i kampaniami, które opisywaliśmy tej jesieni, jest barierą niską. Napastnik, który ma już poświadczenia i zatrzymywało go MFA, dostaje drogę obok niego.
Schemat jest znajomy z tegorocznych incydentów z urządzeniami brzegowymi: SonicOS firmy SonicWall pojawił się w październikowym ostrzeżeniu o ransomware SafePay, obok luk Cisco i Veeam, jako droga wejścia do sieci ofiar. Urządzenia dostępne z internetu pozostają najpewniejszym sposobem na wejście, a warstwa uwierzytelniania na nich jest tam, gdzie leży wartość.
