Kwetsbaarheid in SonicWall SonicOS SSLVPN omzeilt SAML-aanmelding en MFA; misbruik in het wild

Wat is er gebeurd

SonicWall heeft CVE-2026-19868 openbaar gemaakt, een zwakte in de afdwinging van authenticatie in de SSLVPN-service van SonicOS. Een gebruiker die over werkende inloggegevens voor een andere, alternatieve authenticatiemethode beschikt, kan mogelijk de SAML-controles omzeilen die VPN-aanmeldingen horen te beheersen. Doordat die controles worden overgeslagen, kan ook elke multifactorauthenticatie (MFA) die via SAML wordt afgedwongen worden omzeild, waardoor de aanmelding in feite tot één factor wordt teruggebracht.

Het probleem is geclassificeerd als CWE-308, gebruik van single-factor authenticatie. Het is gepubliceerd op 2026-11-06. CISA heeft het dezelfde dag toegevoegd aan de Known Exploited Vulnerabilities-catalogus, wat betekent dat er actief misbruik van de kwetsbaarheid wordt gemaakt.

Wie is getroffen

De kwetsbaarheid treft SonicWall SonicOS met de SSLVPN-service. Volgens de gegevens waarover wij beschikken, gaat het om SonicOS-versies eerder dan 7.3.4-7015 en SonicOS-versies eerder dan 8.2.2-8015. Organisaties die voor de beveiliging van SSLVPN-toegang vertrouwen op SAML en op MFA die via SAML wordt afgedwongen, zijn degenen bij wie de beveiligingsmaatregelen kunnen worden omzeild.

Hoe ernstig is het

De kwetsbaarheid heeft een CVSS 3.1-basisscore van 7.5, beoordeeld als hoog. De score weerspiegelt een aanval die via het netwerk bereikbaar is en geen voorafgaande rechten of gebruikersinteractie vereist, hoewel de complexiteit van de aanval als hoog is beoordeeld. De voornaamste impact betreft de vertrouwelijkheid.

Wat de urgentie vergroot, is dat de kwetsbaarheid actief wordt misbruikt en is opgenomen in de CISA KEV-catalogus, met een hersteldeadline van 2026-11-20 voor Amerikaanse federale instanties. De EPSS-score, een schatting van de kans op misbruik, is 0.00621. Het omzeilen van MFA op een VPN-gateway kan een belangrijke laag van de perimeterbeveiliging ondermijnen.

Wat moet u doen

1. 1Werk SonicOS bij naar 7.3.4-7015 of 8.2.2-8015, afhankelijk van uw releaselijn, of naar een latere versie.
2. 2Volg het SonicWall-advies SNWLID-2026-0014 en pas de daarin beschreven mitigerende maatregelen toe.
3. 3Controleer de SSLVPN-aanmeldactiviteit op sessies die niet via SAML of MFA zijn verlopen.
4. 4Breng in kaart welke SonicOS-apparaten SSLVPN aan het internet blootstellen en geef die prioriteit.
5. 5Federale instanties moeten het herstel uiterlijk op de CISA-deadline van 2026-11-20 afronden of het product niet meer gebruiken als er geen mitigerende maatregelen beschikbaar zijn.

Kerngegevens