This post is also available in: Português
A CVE-2026-19868 é uma vulnerabilidade de alta severidade no serviço de SSL VPN do SonicOS, sistema operacional dos firewalls da SonicWall. Em versões afetadas com SAML habilitado para o login na VPN, uma pessoa com credenciais válidas para um método alternativo de autenticação pode contornar os controles do SAML, inclusive a autenticação multifator (MFA) exigida por esse fluxo. A CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas em 6 de novembro de 2026.
O que é o SonicOS e quais produtos são afetados?
A SonicWall desenvolve soluções de segurança de rede, entre elas firewalls de próxima geração e ferramentas de acesso remoto. O SonicOS é o sistema operacional dos seus firewalls e executa funções como filtragem de tráfego, aplicação de políticas de rede e acesso remoto por VPN. O componente afetado pela CVE-2026-19868 é o serviço de SSL VPN integrado ao firewall, que concede acesso remoto a recursos corporativos conforme as permissões de cada conta.
O comunicado da fabricante abrange firewalls físicos e virtuais das gerações Gen 7 e Gen 8. Na Gen 7, são afetadas as versões até a 7.3.3-7015, inclusive, e a correção está disponível a partir da 7.3.4-7013. Na Gen 8, são afetadas as versões até a 8.2.2-8015, inclusive, e a versão corrigida indicada é a 8.2.3-8015. Para esta CVE, a exposição depende de o SAML estar habilitado para autenticação na SSL VPN.
Como a CVE-2026-19868 permite contornar o MFA?
O SAML (Security Assertion Markup Language) permite que a VPN delegue a autenticação a um provedor de identidade. Nesse fluxo, o provedor verifica quem está tentando se conectar, aplica as políticas de acesso, como a exigência de um segundo fator, e envia à VPN uma confirmação da autenticação.
A falha está na aplicação desses controles pelo SonicOS. Se uma pessoa dispõe de credenciais válidas aceitas por um método alternativo, ela pode obter acesso à VPN por um fluxo que contorna as verificações do SAML. Assim, a política de MFA pode estar corretamente configurada no provedor de identidade e, ainda assim, ficar fora do caminho percorrido por aquela sessão. A credencial válida para o método alternativo continua sendo uma condição da exploração descrita.
A vulnerabilidade foi associada à CWE-308, categoria que descreve o uso de autenticação de fator único em um contexto que exige mais de um fator. Neste caso, a fraqueza se manifesta quando o caminho alternativo permite concluir o acesso sem passar pela verificação adicional prevista no fluxo SAML.
Qual é a severidade da vulnerabilidade?
A avaliação da CISA-ADP, publicada no registro da CVE, atribui à falha CVSS de 7,5, com severidade alta. O NHS England cita uma avaliação de 7,1, também na faixa alta. Para definir a prioridade de correção, além da nota, importam a exposição do serviço, a configuração de autenticação e o registro de exploração em ambiente real. Um firewall vulnerável com SSL VPN acessível pela internet e login via SAML merece atenção imediata.
Exploração conhecida e impacto no acesso remoto
Em 6 de novembro de 2026, a CISA adicionou a CVE-2026-19868 ao Known Exploited Vulnerabilities Catalog (KEV), catálogo de falhas com evidências de exploração. A SonicWall informou ter investigado um relato de possível exploração. O prazo de correção indicado pela CISA para as agências civis do Executivo federal dos Estados Unidos é 20 de novembro de 2026. Para outras organizações, a inclusão no catálogo é um sinal para priorizar a correção dos equipamentos expostos.
O impacto direto é a possibilidade de abrir uma sessão de VPN sem cumprir a verificação multifator esperada. Uma credencial válida obtida por terceiros, por exemplo, pode viabilizar o acesso aos recursos que a conta já tem permissão para alcançar. O alcance de uma eventual intrusão depende das permissões da conta, das regras do firewall e da segmentação entre a rede de acesso remoto e os sistemas internos.
Como corrigir a CVE-2026-19868?
A medida prioritária é atualizar o SonicOS para a versão corrigida indicada para a geração e o modelo do firewall. No inventário, confirme a versão em execução, se a SSL VPN está ativa e se os logins usam SAML. Priorize os equipamentos vulneráveis com o serviço exposto à internet e consulte o boletim SNWLID-2026-0014 antes de aplicar o firmware.
Se a atualização depender de uma janela de manutenção, avalie restringir temporariamente a exposição da SSL VPN ou suspender o serviço nos equipamentos em que o acesso remoto puder ser interrompido. Depois da atualização, valide se a versão corrigida está em execução, se o login legítimo exige MFA e se os métodos alternativos disponíveis seguem a política de acesso da organização.
Como a vulnerabilidade já foi incluída no KEV, vale revisar também o período em que o serviço esteve exposto. Correlacione, quando disponíveis, os registros de sessões da VPN com os eventos de autenticação do provedor de identidade. Sessões sem um evento SAML correspondente, conexões de origens incomuns e acessos fora do padrão de uma conta são pontos de partida para investigação. Se houver indícios de acesso indevido, preserve os registros, encerre as sessões suspeitas e trate as credenciais envolvidas pelo processo de resposta a incidentes.
This post is also available in: Português
