Firmy, które logują pracowników do SonicWall SSL-VPN przez SAML, powinny od razu zaktualizować SonicOS. Luka CVE-2026-19868 pozwala ominąć to logowanie razem z uwierzytelnianiem wieloskładnikowym (MFA). SonicWall podał 6 listopada 2026 roku, że zbadał zgłoszenie o możliwym wykorzystaniu luki w atakach. Tego samego dnia amerykańska agencja CISA wpisała ją do katalogu luk wykorzystywanych w atakach (KEV). Poprawka jest w wersjach 7.3.4-7013 (Gen7) i 8.2.3-8015 (Gen8), a obejścia producent nie podaje. Stan na 7 listopada 2026 roku, godz. 19:00, według biuletynu SonicWalla SNWLID-2026-0014, rekordu CVE i katalogu KEV.
Czego dotyczy luka CVE-2026-19868 w SonicWall SSL-VPN
Luka dotyczy tylko usługi SSL-VPN w SonicOS i tylko wtedy, gdy logowanie do niej używa SAML. Tak zapisał SonicWall w biuletynie SNWLID-2026-0014: “This vulnerability ONLY impacts the SonicOS SSLVPN interface or service if SAML is enabled for SSLVPN logins”. SAML to standard logowania jednokrotnego, w którym tożsamość potwierdza zewnętrzny dostawca, np. Microsoft Entra ID albo Okta. To on często wymusza drugi składnik logowania.
Opis w rekordzie CVE mówi, że użytkownik z poprawnymi danymi do innej, alternatywnej metody uwierzytelniania może ominąć kontrolę SAML. Skuteczny atak może też ominąć MFA wymuszane przez SAML. W praktyce napastnik potrzebuje działających danych logowania do innej metody niż SAML. Biuletyn nie wyjaśnia, o które metody chodzi. Z takimi danymi może wejść do sieci firmy z pominięciem drugiego składnika, który miał wymuszać SAML.
SonicWall ocenia lukę na 7,1 na 10 w skali CVSS, która opisuje techniczną powagę podatności. CISA w swoim uzupełnieniu rekordu CVE daje 7,5 i oznacza wykorzystanie jako aktywne. Lukę zgłosił Ryan Harris z firmy The Electronic Office.
Które urządzenia SonicWall są podatne i do jakiej wersji zaktualizować
Podatne są zapory Gen7 z SonicOS 7.3.3-7015 i starszym oraz Gen8 z SonicOS 8.2.2-8015 i starszym. Poprawkę zawierają wersje 7.3.4-7013 i 8.2.3-8015 oraz nowsze. Biuletyn wymienia modele:
- Gen7, urządzenia: TZ 270, 270W, 370, 370W, 470, 470W, 570, 570W, 570P, 670; NSa 2700, 3700, 4700, 5700, 6700; NSsp 10700, 11700, 13700, 15700.
- Gen7, wirtualne: NSv 270, 470, 870 (ESX, KVM, Hyper-V, AWS, Azure).
- Gen8, urządzenia: TZ 80, 280, 280W, 380, 380W, 480, 580, 680; NSa 2800, 3800, 4800, 5800.
- Gen8, wirtualne: NSv XS, S, M, L (ESX, KVM, Hyper-V, AWS, Azure).
W polu “Workaround” biuletyn ma wpis “None”. Producent nie podaje obejścia i zaleca jak najszybszą aktualizację. Starszych zapór Gen6 biuletyn nie wymienia. To nie znaczy, że producent je przetestował i uznał za bezpieczne.
Jak sprawdzić wersję SonicOS i to, czy SSL-VPN używa SAML
Aktualną wersję SonicOS 7 sprawdzisz według instrukcji SonicWalla w trzech krokach:
- Zaloguj się do interfejsu zarządzania zaporą.
- Wybierz Home, a potem Dashboard | System.
- Odczytaj pole Firmware Version w sekcji General.
Jeśli numer jest niższy niż 7.3.4-7013 (Gen7) albo 8.2.3-8015 (Gen8), zapora wymaga aktualizacji. Instrukcja opisuje SonicOS 7, dla Gen8 w SonicOS 8 ścieżka może wyglądać inaczej.
Czy SSL-VPN loguje przez SAML, sprawdzisz w ustawieniach serwera SSL-VPN. Według przewodnika SonicWalla po SAML dla SonicOS 7.2 typ uwierzytelniania widać w SSL VPN > Server Settings. Jeśli wybrano tam SAML, a zapora działa na podatnej wersji, konfiguracja spełnia warunki z biuletynu.
Na czas do aktualizacji warto przejrzeć konta, które mogą logować się do SSL-VPN inną metodą niż SAML. Producent nie podał tego jako obejścia. To nasza ocena: luka wymaga właśnie takich danych, więc każde zbędne konto to dodatkowa furtka.
Co jeszcze naprawia biuletyn SonicWalla z 6 listopada
Ten sam biuletyn łata siedem luk w SonicOS, a CVE-2026-19868 jest jedyną, przy której SonicWall pisze o sygnale ataków. Pozostałe sześć według biuletynu:
| CVE | Gdzie | Ocena CVSS | Skutek według SonicWalla |
|---|---|---|---|
| CVE-2026-107155 | interfejs zarządzania | 8,8 | zbyt liberalna polityka między domenami, nieautoryzowane operacje bez logowania |
| CVE-2026-107154 | interfejs zarządzania | 8,8 | błąd sprawdzania sesji (poleganie na adresie IP), nieautoryzowane operacje bez logowania |
| CVE-2026-82308 | SSL-VPN | 7,5 | przepełnienie bufora w pamięci (sterta) przed logowaniem, może zatrzymać usługę |
| CVE-2026-77708 | klient TACACS+ (protokół sprawdzania tożsamości i uprawnień) | 5,9 | przepełnienie bufora w pamięci (stos) przed logowaniem, może zatrzymać usługę |
| CVE-2026-77709 | klient TACACS+ | 5,9 | przepełnienie bufora w pamięci (sterta) przed logowaniem, może zatrzymać usługę |
| CVE-2026-19703 | urządzenia wirtualne | 5,2 | zbyt słabe zabezpieczenie hasła, może ujawnić dane dostępu do części ustawień; wymaga lokalnego dostępu z wysokimi uprawnieniami |
Dwie luki w interfejsie zarządzania mają w wektorze CVSS wymóg interakcji użytkownika. Niezależnie od aktualizacji interfejs zarządzania zapory nie powinien być dostępny z internetu, to nasza rekomendacja.
Czego nie wiadomo o atakach
Szczegółów ataków nie podał ani SonicWall, ani CISA. SonicWall pisze tylko, że zbadał zgłoszenie wskazujące na możliwe wykorzystanie luki. Według SecurityWeek nie wiadomo też, czy lukę wykorzystano, zanim powstała poprawka. W katalogu KEV pole o użyciu luki w atakach ransomware, czyli z oprogramowaniem wymuszającym okup, ma wartość “Unknown” (nieznane).
CISA dała amerykańskim agencjom federalnym czas na usunięcie luki do 20 listopada 2026 roku. Ten termin obowiązuje tylko je, ale dla firm w Polsce to dobra miara pilności. SonicWall ma w katalogu KEV 20 wpisów. Podobny schemat, czyli ataki na urządzenia brzegowe, opisywaliśmy przy FortiGate i kontach administratora oraz przy październikowych lukach w PAN-OS i Ivanti.
{ dla firm }Co możemy zrobić dla Twojej firmy?
Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.
Podsumowanie
Luka CVE-2026-19868 w SonicOS pozwala osobie z poprawnymi danymi do innej metody logowania ominąć SAML i wymuszane przez SAML uwierzytelnianie wieloskładnikowe w SSL-VPN. Problem dotyczy niezałatanych zapór Gen7 i Gen8, jeśli logowanie do SSL-VPN używa SAML. SonicWall zbadał zgłoszenie o możliwych atakach, a CISA 6 listopada wpisała lukę do katalogu KEV z terminem 20 listopada dla agencji federalnych. Producent nie podaje obejścia. Administrator powinien sprawdzić wersję SonicOS oraz odczytać typ uwierzytelniania w SSL VPN > Server Settings, a potem zainstalować SonicOS 7.3.4-7013 albo 8.2.3-8015. Aktualizacja usuwa też sześć innych luk, w tym dwie poważne w interfejsie zarządzania.
