SonicWall выпустил обновления SonicOS, закрывающие семь уязвимостей. Главная из них — CVE-2026-19868: дыра в компоненте SSL VPN позволяет обойти аутентификацию SAML, а вместе с ней и MFA, которую эта схема входа навязывает. Вендор предупредил, что получил сообщение о возможной эксплуатации уязвимости, и в тот же день CISA внесла её в каталог Known Exploited Vulnerabilities (KEV).
Патчи описаны в бюллетене от 6 ноября. Уязвимость с оценкой CVSS 7.1 относится к высокому уровню опасности; нашёл её Ryan Harris из The Electronic Office.
Как работает обход и кого он касается
Формулировка SonicWall: уязвимость нарушения контроля аутентификации в сервисе SSLVPN может позволить пользователю, у которого есть действующие учётные данные для альтернативного метода входа, обойти средства контроля SAML. Успешная эксплуатация может обойти и многофакторную аутентификацию, которую SAML требует.
Ключевое условие — на устройстве должен быть включён вход через SAML. Если SSL VPN настроен на другой способ аутентификации, эта конкретная дыра не открывается. Именно поэтому администраторам стоит первым делом проверить конфигурацию портала, а не только версию прошивки.
Уязвимы:
- межсетевые экраны Gen7 серий TZ, NSa, NSsp и NSv с SonicOS 7.3.3-7015 и старше;
- межсетевые экраны Gen8 серий TZ, NSa и NSv с SonicOS 8.2.2-8015 и старше.
Исправляют проблему версии SonicOS 7.3.4-7013 и 8.2.3-8015. Обходных путей нет — вендор прямо пишет, что клиентам настоятельно рекомендуется как можно скорее обновиться до последнего релиза.
Что требует CISA и чего не хватает в картине
CISA добавила CVE-2026-19868 в KEV 6 ноября. По Binding Operational Directive 26-04 федеральные агентства США обязаны устранить её до 20 ноября. Ни вендор, ни CISA не раскрыли деталей предполагаемых атак, и неизвестно, эксплуатировали ли дыру как zero-day — до того, как появился патч.
Сам факт внесения в KEV означает, что эксплуатация считается подтверждённой, но не даёт ответа на вопрос, кто и против кого её применял. Оценку атрибуции в этом случае никто публично не приводил.
Остальные шесть дыр: что закрыли заодно
SonicWall не помечает ни одну из шести оставшихся уязвимостей как эксплуатируемую. Две из них с CVSS 8.8 затрагивают интерфейс управления SonicOS: одна связана со слишком разрешительной политикой cross-domain, вторая — с ошибкой проверки сессии. При определённых условиях удалённый атакующий может воспользоваться любой из них без входа в систему и выполнить несанкционированные действия.
Ещё три — переполнения буфера до аутентификации в сервисе SSL VPN и в клиенте аутентификации TACACS+. Их применение грозит атаками на отказ в обслуживании на уровне приложения. Последняя, седьмая, — слабое хеширование паролей в виртуальных экземплярах: её может использовать тот, у кого уже есть локальный доступ с высокими привилегиями, чтобы получить учётные данные платформы и доступ к части её настроек.
Почему это не разовая история
SonicWall — привычная цель для атакующих, и это видно по самому каталогу CISA: в KEV сейчас 20 дыр, но CVE-2026-102255, которую начали использовать в прошлом месяце через несколько дней после раскрытия, агентство туда ещё не добавило. Для администратора вывод простой: устройства SonicWall нужно держать в поле постоянного внимания, а не вспоминать о них при очередном бюллетене. Похожая ситуация была с SSRF с CVSS 10.0 в SonicWall SMA1000, а из свежего — с уязвимостью в Cisco ASA и FTD, которую тоже эксплуатировали в SSL VPN.
Что делать администратору
- Проверьте версию SonicOS на всех межсетевых экранах Gen7 и Gen8 — команда зависит от модели, ориентируйтесь на панель управления и сверяйте с 7.3.3-7015 / 8.2.2-8015 как границей уязвимости.
- Обновитесь до 7.3.4-7013 или 8.2.3-8015. Обходных мер нет, поэтому откладывать обновление не на что.
- Отдельно проверьте, включён ли вход через SAML на SSL VPN: именно эта конфигурация делает CVE-2026-19868 применимой.
- Если обновление невозможно в ближайшее время, ограничьте доступ к порталу SSL VPN и интерфейсу управления по адресам и заведите журналирование входов, чтобы увидеть попытки обхода SAML.
Для российских организаций, у которых стоят межсетевые экраны SonicWall, ситуация та же, что и у всех остальных: патч доступен, обходных путей нет, а включённый SAML на портале делает устройство подходящей целью. Отдельного реестрового аналога здесь нет — это проприетарная прошивка вендора.
Частые вопросы
Кого касается CVE-2026-19868?
Владельцев межсетевых экранов SonicWall Gen7 (TZ, NSa, NSsp, NSv) с SonicOS 7.3.3-7015 и старше и Gen8 (TZ, NSa, NSv) с SonicOS 8.2.2-8015 и старше — при условии, что на SSL VPN включён вход через SAML.
Что именно позволяет сделать уязвимость?
Пользователь с действующими учётными данными для альтернативного метода аутентификации может обойти контроль SAML, а вместе с ним и навязанную SAML многофакторную аутентификацию.
Есть ли обходной путь, если обновиться прямо сейчас нельзя?
Нет. SonicWall прямо указывает, что обходных путей не существует, и рекомендует обновиться как можно скорее.
Какие версии закрывают проблему?
SonicOS 7.3.4-7013 и SonicOS 8.2.3-8015.
Дыру действительно эксплуатировали?
CISA внесла её в KEV, а SonicWall сообщил, что его команда по безопасности продукта изучила сообщение о возможной эксплуатации. Детали атак не раскрываются, и неизвестно, использовали ли её до выхода патча.
Какой срок дала CISA?
Федеральные агентства США должны устранить уязвимость до 20 ноября в соответствии с Binding Operational Directive 26-04.
Что ещё закрыто в том же бюллетене?
Две дыры с CVSS 8.8 в интерфейсе управления (cross-domain policy и проверка сессии), три переполнения буфера до аутентификации в SSL VPN и клиенте TACACS+ и слабое хеширование паролей в виртуальных экземплярах. Эксплуатируемой из них вендор не называет только CVE-2026-19868.
Насколько это критично по шкале CVSS?
У CVE-2026-19868 оценка 7.1 — высокий уровень. У двух дыр в интерфейсе управления — 8.8.
Источник: securityweek.com