SonicWall виправила у SonicOS експлойтовану у атаках вразливість MFA для SSL‑VPN
SonicWall випустила оновлення безпеки для SonicOS, закривши сім вразливостей, зокрема помилку обходу SAML‑аутентифікації в SSL‑VPN, яку вже використовують у реальних атаках.
SonicWall оновила SonicOS, усунувши сім вразливостей, серед яких — експлойтована помилка обходу контролів SAML і багатофакторної аутентифікації (MFA) у сервісі SSL‑VPN.
Що сталося
У консультації з безпеки, опублікованій у п’ятницю, компанія повідомила про уразливість CVE-2026-19868 (CVSS 7,1), що дає змогу зловмиснику з чинними обліковими даними для альтернативного методу автентифікації обійти SAML‑контролі, включно з примусовою MFA. За даними компанії, інцидент з потенційною експлуатацією вже розслідували, і користувачів закликають якнайшвидше встановити останні оновлення.
Про ваду повідомив Ryan Harris з The Electronic Office. Агентство CISA додало CVE-2026-19868 до каталогу Known Exploited Vulnerabilities (KEV), підтвердивши експлуатацію в дикій природі, та зобов’язало федеральні відомства США захистити уразливі системи до 20 листопада 2026 року.
Які продукти вразливі
Проблема стосується лише SSL‑VPN, налаштованих на SAML‑аутентифікацію. Усі згадані вади впливають на SonicOS Gen7 версій 7.3.3-7015 і старіших та Gen8 версій 8.2.2-8015 і старіших. Виправлення доступні у SonicOS 7.3.4-7013 і 8.2.3-8015. Обхідних рішень немає.
Що саме виправили
- CVE-2026-19868: обхід SAML‑аутентифікації в SSL‑VPN з потенційним обходом MFA (CVSS 7,1).
- Дві вади інтерфейсу керування з оцінкою 8,8, які за певних умов дозволяли неавтентифікованим зловмисникам виконувати несанкціоновані операції.
- Преавтентифікаційні переповнення буфера в сервісах SSL‑VPN і TACACS+, що можуть спричиняти відмову в обслуговуванні.
- Слабке хешування паролів у віртуальних аплаянсах.
Контекст останніх атак
Попередження з’явилося на тлі серії атак на аплаянси віддаленого доступу SonicWall SMA1000. У жовтні дослідники фіксували спроби експлуатації критичної CVE-2026-102255, що дозволяє неавтентифікованим атакувальникам отримувати доступ до внутрішньої функціональності та виконувати несанкціоновані дії. У вересні зловмисники поєднували дві zero‑day для віддаленого виконання коду, а в липні експлуатували інші дві невідомі раніше вади для розгортання шкідника на вразливих пристроях.
Що робити адміністраторам
Власникам SonicOS із ввімкненим SAML на SSL‑VPN радять негайно оновитися до версій 7.3.4-7013 або 8.2.3-8015. Також варто перевірити журнали на предмет підозрілої активності та, за потреби, посилити політики доступу та MFA.
