Falha explorada em VPN da SonicWall pode contornar SAML e MFA; correção vence em 20 de novembro

A SonicWall lançou uma atualização emergencial para o SonicOS após identificar uma vulnerabilidade no serviço de VPN SSL que pode permitir o bypass da autenticação SAML e, consequentemente, da autenticação multifator (MFA) em firewalls corporativos e governamentais. A falha, rastreada como CVE-2026-19868, já foi incluída pela Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) no catálogo de vulnerabilidades exploradas em ataques. Órgãos federais norte-americanos têm até 20 de novembro para corrigir o problema.

A vulnerabilidade afeta diretamente o componente SSL VPN do SonicOS. De acordo com a descrição técnica da fabricante, uma falha na aplicação dos mecanismos de autenticação pode permitir que um usuário com credenciais válidas em um método alternativo contorne os controles SAML. Em caso de exploração bem-sucedida, também seria possível ignorar a autenticação multifator aplicada pelo SAML.

Na prática, quando o SAML está habilitado na VPN, um usuário que possua credenciais válidas em outro método de autenticação pode evitar as verificações previstas e acessar o serviço sem concluir o fluxo de múltiplos fatores. O problema recebeu pontuação CVSS 7.1, considerada alta, e afeta ambientes que dependem de SAML e MFA para proteger o acesso remoto.

A SonicWall informou que sua equipe de segurança investigou um relato que indica possível exploração da vulnerabilidade. A empresa, no entanto, não divulgou detalhes sobre eventuais incidentes confirmados.

O CVE-2026-19868 atinge firewalls das gerações mais recentes da SonicWall. Estão vulneráveis os seguintes equipamentos:

- Dispositivos Gen7 das linhas TZ, NSa, NSsp e NSv que executam o SonicOS 7.3.3-7015 ou versões anteriores; - Dispositivos Gen8 das linhas TZ, NSa e NSv com SonicOS 8.2.2-8015 ou versões anteriores.

A correção está disponível nas versões SonicOS 7.3.4-7013 e 8.2.3-8015. A SonicWall afirma que não existe uma solução alternativa temporária e recomenda a atualização para a versão mais recente o quanto antes, a fim de reduzir os riscos associados.

A falha foi reportada pelo pesquisador Ryan Harris, da The Electronic Office, e integra um conjunto de sete vulnerabilidades detalhadas no mesmo aviso de segurança da SonicWall. O caso ganhou relevância adicional após a CISA incluir o CVE-2026-19868 no catálogo de vulnerabilidades conhecidas por serem exploradas, medida que obriga órgãos federais dos Estados Unidos a adotar providências.

Com base na Binding Operational Directive 26-04, essas agências têm até 20 de novembro para mitigar o problema. O prazo também pode servir de referência para empresas privadas e outros órgãos públicos que utilizam equipamentos Gen7 e Gen8 em infraestruturas críticas e redes corporativas.

Atualmente, a CISA lista 20 vulnerabilidades em produtos SonicWall como exploradas ativamente. O número reforça a atenção sobre a base instalada de firewalls usados para proteger acessos remotos.

Além do CVE-2026-19868, a SonicWall detalhou outras seis falhas no SonicOS, todas corrigidas nas novas versões. Duas delas receberam pontuação CVSS 8.8 e afetam a interface de gerenciamento do sistema. Em cenários específicos, elas podem permitir ações não autorizadas sem a necessidade de autenticação. Uma está relacionada a uma política permissiva de domínio cruzado, enquanto a outra envolve uma falha na validação de sessões.

Outras três vulnerabilidades são classificadas como estouros de buffer em componentes de autenticação: duas no serviço de VPN SSL e uma no cliente TACACS+. Por serem falhas pré-autenticação, elas podem ser exploradas para provocar negação de serviço (DoS) em nível de aplicação, causando interrupções ou instabilidade no acesso remoto.

A sétima vulnerabilidade envolve o uso de hashing fraco para senhas em appliances virtuais. Um invasor com acesso local altamente privilegiado poderia explorá-la para obter uma credencial da plataforma e acessar parte das configurações do sistema.

Segundo a SonicWall, até o momento apenas a falha relacionada ao SAML foi associada a relatos de possível exploração. As demais não foram oficialmente relacionadas a ataques, mas afetam a mesma base instalada, o que aumenta a importância da atualização em ambientes corporativos e governamentais.

Como o componente vulnerável é a VPN SSL, o problema afeta diretamente o modelo de trabalho remoto adotado por empresas e órgãos públicos que utilizam SAML e MFA para reforçar a segurança dos logins. Com o bypass, um usuário mal-intencionado ou um invasor que tenha obtido credenciais válidas por outro método poderia acessar recursos internos sem passar por todas as etapas de autenticação previstas.

Para as equipes de segurança e tecnologia da informação, a recomendação é priorizar o inventário de dispositivos SonicWall das séries Gen7 e Gen8, planejar janelas de manutenção e instalar as versões corrigidas do SonicOS o mais rapidamente possível. Também é indicado monitorar os registros de acesso remoto em busca de comportamentos anômalos que possam indicar o uso indevido da vulnerabilidade.

Fonte: Miraí Broadcast