Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-19868 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-06 |
| Producent | SonicWall |
| Produkt | SonicOS SSLVPN |
| CVSS Score | 7.1 (Wysoki) |
| EPSS Score | Brak danych |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-11-20 |
Opis podatności
Źródło: CISA KEV, SonicWall PSIRT (SNWLID-2026-0014), NVD
Usługa SSLVPN w systemie SonicOS nieprawidłowo egzekwuje uwierzytelnianie (CWE-308: użycie uwierzytelniania jednoskładnikowego). Użytkownik, który ma ważne poświadczenia dla alternatywnej metody uwierzytelniania, może ominąć kontrole uwierzytelniania SAML. Skuteczne wykorzystanie luki pozwala też obejść uwierzytelnianie wieloskładnikowe (MFA) wymuszane przez SAML — czyli zalogować się do VPN samym hasłem, mimo że organizacja wymaga MFA.
Podatność dotyczy wyłącznie interfejsu lub usługi SSLVPN z włączonym logowaniem SAML. SonicWall PSIRT potwierdza, że analizował zgłoszenie wskazujące na możliwe wykorzystanie luki, a CISA 6 listopada 2026 r. dodała ją do katalogu Known Exploited Vulnerabilities z terminem usunięcia 20 listopada 2026 r.
Ocena CVSS producenta: 7.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N). CISA (ADP) w NVD ocenia lukę na 7.5. Ta sama aktualizacja SonicOS (biuletyn SNWLID-2026-0014) usuwa też sześć innych podatności, m.in. CVE-2026-107155 i CVE-2026-107154 w interfejsie zarządzania (CVSS 8.8) oraz CVE-2026-82308 — przepełnienie bufora w SSL-VPN przed uwierzytelnieniem (DoS, CVSS 7.5).
Wymagane działania
- Zaktualizuj SonicOS — producent nie udostępnia obejścia, jedyną poprawką jest aktualizacja:
- zapory Gen7 (TZ 270/370/470/570/670, NSa 2700–6700, NSsp 10700–15700, NSv 270/470/870): 7.3.4-7013 lub nowsza (podatne: 7.3.3-7015 i starsze),
- zapory Gen8 (TZ 80/280/380/480/580/680, NSa 2800–5800, NSv XS/S/M/L): 8.2.3-8015 lub nowsza (podatne: 8.2.2-8015 i starsze).
- Do czasu aktualizacji, jeśli SSLVPN korzysta z SAML, rozważ czasowe wyłączenie dostępu SSLVPN z internetu lub ograniczenie go do znanych adresów źródłowych oraz usunięcie zbędnych alternatywnych metod uwierzytelniania (np. kont lokalnych, LDAP) dla użytkowników VPN.
- Sprawdź, czy nie doszło do kompromitacji (luka jest aktywnie wykorzystywana): przejrzyj logi SSLVPN pod kątem logowań, które nie przeszły przez dostawcę SAML/MFA, logowań z nietypowych adresów i krajów oraz sesji kont, które powinny logować się wyłącznie przez SAML. Po aktualizacji zresetuj hasła kont z alternatywnymi metodami logowania i zamknij aktywne sesje VPN.
- Termin CISA dla agencji federalnych USA to 2026-11-20 — traktuj go jako maksymalny termin także w swojej organizacji.
Kogo dotyczy?
Podatność dotyczy organizacji używających zapór SonicWall generacji 7 i 8 (seria TZ, NSa, NSsp oraz wirtualne NSv w ESX, KVM, Hyper-V, AWS i Azure) z systemem SonicOS, w których włączony jest SSLVPN z logowaniem SAML (np. przez Microsoft Entra ID lub inny IdP). Instalacje bez SAML na SSLVPN nie są podatne na CVE-2026-19868, ale powinny wdrożyć tę samą aktualizację ze względu na pozostałe luki z biuletynu.
Źródła
- SonicWall PSIRT - SNWLID-2026-0014: SonicWall SonicOS Affected By Multiple Vulnerabilities
- NVD - CVE-2026-19868
- CISA KEV Catalog - CVE-2026-19868
- FIRST EPSS
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
