SonicWall heeft beveiligingsupdates uitgebracht voor zeven kwetsbaarheden in SonicOS-firewalls. De belangrijkste kwetsbaarheid, CVE-2026-19868, raakt SSL-VPN-omgevingen die SAML-authenticatie gebruiken en is volgens de beschikbare informatie al in aanvallen misbruikt. De fout kan ertoe leiden dat aanvallers SAML-controles omzeilen, mogelijk ook wanneer multi-factor authentication via SAML wordt afgedwongen.
Het probleem is relevant voor organisaties die SonicWall-firewalls inzetten voor externe toegang. SSL-VPN-systemen vormen vaak een directe toegangspoort tot interne netwerken. Een fout in de authenticatielaag kan daardoor grote gevolgen hebben, zeker wanneer beheerders ervan uitgaan dat SAML en MFA de belangrijkste verdedigingslinie vormen.
Bevestigd: kwetsbaarheid raakt SAML-configuraties voor SSL-VPN
CVE-2026-19868 heeft een CVSS-score van 7,1. Volgens SonicWall treft de kwetsbaarheid alleen SonicOS SSL-VPN-diensten die zijn ingericht voor SAML-authenticatie. De fout maakt het mogelijk dat een aanvaller met geldige inloggegevens voor een alternatieve authenticatiemethode de SAML-controles passeert. Daarmee kan in bepaalde configuraties ook MFA worden omzeild als die via SAML wordt afgedwongen.
SonicWall meldt dat het Product Security Incident Response Team een melding over mogelijk misbruik heeft onderzocht. Het bedrijf roept klanten op om zo snel mogelijk naar de nieuwste versies te upgraden. Details over de waargenomen aanval zijn niet gedeeld.
De Amerikaanse Cybersecurity and Infrastructure Security Agency heeft CVE-2026-19868 toegevoegd aan de Known Exploited Vulnerabilities-catalogus. Daarmee bevestigt CISA dat de kwetsbaarheid in de praktijk is misbruikt. Amerikaanse federale civiele overheidsinstanties moeten getroffen systemen uiterlijk op 20 november 2026 beveiligen.
De kwetsbaarheid werd ontdekt en gemeld door Ryan Harris van The Electronic Office.
Zeven lekken verholpen in SonicOS
Naast CVE-2026-19868 verhelpen de updates zes andere kwetsbaarheden in SonicOS. Daaronder vallen twee fouten in de beheerinterface met een ernstscore van 8,8. Onder specifieke omstandigheden kunnen niet-geauthenticeerde aanvallers via deze kwetsbaarheden ongeautoriseerde handelingen uitvoeren.
Ook zijn er pre-authentication buffer overflows opgelost in de SSL-VPN- en TACACS+-diensten. Die kunnen leiden tot denial-of-service-situaties. Verder is een kwetsbaarheid in zwakke wachtwoord-hashing verholpen die van invloed is op virtuele appliances.
Getroffen zijn SonicOS Gen7-versies 7.3.3-7015 en ouder, en SonicOS Gen8-versies 8.2.2-8015 en ouder. SonicWall heeft de problemen opgelost in SonicOS 7.3.4-7013 en 8.2.3-8015. Volgens het bedrijf zijn er geen workarounds beschikbaar.
Analyse: waarom juist deze bypass opvalt
De kwetsbaarheid is geen klassieke volledig ongeauthenticeerde toegangsfout: uit de beschikbare informatie blijkt dat een aanvaller geldige gegevens voor een alternatieve authenticatiemethode nodig heeft. Toch blijft de impact aanzienlijk. In veel organisaties is SAML juist gekoppeld aan centraal identiteitsbeheer en MFA-beleid. Als een aanvaller via een alternatieve route langs die SAML-controles kan komen, kan dat het vertrouwen in de ingestelde toegangscontrole ondermijnen.
Voor beveiligingsteams is vooral het ontbreken van een workaround belangrijk. Dat betekent dat patchen de enige door SonicWall genoemde manier is om het risico weg te nemen. Organisaties die SSL-VPN-toegang via SonicWall aanbieden, zullen daarom moeten controleren welke SonicOS-versies actief zijn en of SAML-authenticatie voor SSL-VPN wordt gebruikt.
Nieuwe waarschuwing past in bredere reeks aanvallen
De waarschuwing volgt op een periode waarin SonicWall-apparatuur vaker doelwit was. Eerder werden aanvallen gemeld op SMA1000-appliances voor veilige externe toegang. In oktober zagen onderzoekers misbruikpogingen tegen CVE-2026-102255, een kwetsbaarheid met maximale ernst waardoor niet-geauthenticeerde aanvallers interne functionaliteit konden benaderen en ongeautoriseerde handelingen konden uitvoeren.
Daarvoor waren er in september aanvallen waarbij twee zero-days in SMA1000-appliances werden gecombineerd om remote code execution te bereiken. In juli werden opnieuw twee andere zero-days misbruikt om malware op kwetsbare appliances te plaatsen.
Die eerdere incidenten gaan over SMA1000-appliances en niet over dezelfde SonicOS-kwetsbaarheid, maar de rode draad is duidelijk: systemen voor externe toegang blijven aantrekkelijk voor aanvallers. Zodra dergelijke systemen aan internet hangen en toegang tot interne omgevingen bieden, kan een kwetsbaarheid in authenticatie, beheer of VPN-functionaliteit snel operationele risico’s opleveren.
Bron: bleepingcomputer.com
