SonicWall отстрани уязвимост в SonicOS, която може да бъде използвана за заобикаляне на SAML удостоверяването, като предупреди клиентите си, че тя вероятно вече е била експлоатирана при атаки.

Проследяван като CVE-2026-19868, пропускът засяга SSL VPN компонента на SonicOS — операционната система, която работи на защитните стени на SonicWall. Това е една от седемте уязвимости, описани в бюлетин за сигурност, публикуван на 6 ноември.

„Уязвимост при налагането на удостоверяване в услугата SonicOS SSLVPN може да позволи на потребител с валидни идентификационни данни за алтернативен метод за удостоверяване да заобиколи контролите за SAML удостоверяване. Успешната експлоатация може също така да заобиколи многофакторното удостоверяване (MFA), наложено чрез SAML“, се посочва в описанието на SonicWall за CVE-2026-19868.

Според производителя SSL VPN услугата е изложена на риск само ако е активирано вписване, базирано на SAML. CVE-2026-19868 има CVSS оценка 7.1, което я поставя в категорията с висока степен на сериозност. Пропускът е докладван от Райън Харис от The Electronic Office.

От SonicWall заявиха, че техният екип по сигурността на продуктите „е разследвал доклад, сочещ потенциална експлоатация на тази уязвимост“.

CISA добави CVE-2026-19868 към своя каталог с известни експлоатирани уязвимости (KEV) в същия ден. Съгласно Задължителна оперативна директива 26-04 федералните агенции трябва да я отстранят до 20 ноември.

Нито производителят, нито CISA са споделили подробности за предполагаемите атаки. Също така не е ясно дали пропускът е бил експлоатиран като уязвимост от тип нулев ден, преди да стане налична корекция за сигурност.

Засегнатите устройства включват защитни стени от сериите Gen7 TZ, NSa, NSsp и NSv със SonicOS 7.3.3-7015 или по-стара версия. Защитните стени Gen8 TZ, NSa и NSv със SonicOS 8.2.2-8015 или по-стара версия също са засегнати.

Версиите на SonicOS 7.3.4-7013 и 8.2.3-8015 разрешават проблема, като няма налични заобиколни решения. „Настоятелно препоръчваме на клиентите да надградят до най-новата версия възможно най-скоро, за да смекчат свързаните рискове“, посочват от SonicWall.

Бюлетинът на SonicWall не отбелязва нито една от останалите шест уязвимости като експлоатирана. Две от тях, всяка с CVSS оценка 8.8, засягат интерфейса за управление на SonicOS. Едната е проблем с прекалено разрешителна политика между домейни (cross-domain policy), а другата е грешка при валидирането на сесии.

При определени обстоятелства отдалечен атакуващ би могъл да злоупотреби с която и да е от двете без да се вписва, за да предприеме неоторизирани действия.

Три от останалите пропуски представляват препълване на буфера преди удостоверяване в услугата SSL VPN и в клиента за удостоверяване TACACS+. Атакуващите биха могли да ги използват за стартиране на DoS атаки на приложно ниво.

Последният пропуск е проблем със слабо хеширане на пароли във виртуалните устройства. Атакуващ, който вече разполага с високопривилегирован локален достъп, би могъл да го експлоатира, за да придобие идентификационни данни за платформата, което дава достъп до някои от нейните настройки.

Киберпрестъпниците често експлоатират уязвимости в продуктите на SonicWall. Каталогът KEV на CISA в момента включва 20 пропуска в сигурността на компанията, но агенцията все още не е добавила CVE-2026-102255, който хакерите започнаха да атакуват миналия месец, само дни след разкриването му.