A SonicWall corrigiu uma vulnerabilidade no SonicOS que pode ser usada para contornar a autenticação SAML (linguagem de marcação de declarações de segurança) e alertou os clientes de que ela pode ter sido explorada em ataques.
Catalogada como CVE-2026-19868 (identificador de Vulnerabilidades e Exposições Comuns), a falha afeta o componente SSL VPN (rede privada virtual com SSL) do SonicOS, sistema operacional que roda nos firewalls da SonicWall. Ela é uma das sete vulnerabilidades descritas em um comunicado publicado em 6 de novembro.
“Uma vulnerabilidade de imposição de autenticação no serviço SSLVPN do SonicOS pode permitir que um usuário com credenciais válidas para um método de autenticação alternativo contorne os controles de autenticação SAML. A exploração bem-sucedida também pode contornar a autenticação multifator (MFA) imposta pelo SAML”, diz a descrição da SonicWall para a CVE-2026-19868.
Segundo o fabricante, uma SSL VPN só fica exposta se o login baseado em SAML estiver habilitado. A CVE-2026-19868 tem pontuação 7,1 no CVSS (Sistema de Pontuação de Vulnerabilidades Comuns), o que a coloca na faixa de alta gravidade. A falha foi reportada por Ryan Harris, da The Electronic Office.
A equipe de segurança de produtos da SonicWall afirmou que “investigou um relatório que indica possível exploração desta vulnerabilidade”.
A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) incluiu a CVE-2026-19868 em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla em inglês) no mesmo dia. De acordo com a Diretiva Operacional Vinculante 26-04, agências federais devem corrigir a falha até 20 de novembro.
Nem o fabricante nem a CISA divulgaram detalhes sobre os supostos ataques. Também não está claro se a falha foi explorada como zero-day, ou seja, antes da disponibilização de uma correção.
Os dispositivos afetados incluem firewalls Gen7 TZ, NSa, NSsp e NSv com SonicOS 7.3.3-7015 ou anterior. Os firewalls Gen8 TZ, NSa e NSv com SonicOS 8.2.2-8015 ou anterior também são afetados.
As versões SonicOS 7.3.4-7013 e 8.2.3-8015 corrigem o problema, e não há soluções alternativas. “Os clientes são fortemente incentivados a atualizar para a versão mais recente o quanto antes, para mitigar os riscos associados”, afirmou a SonicWall.
O comunicado da SonicWall não marca nenhuma das outras seis falhas como exploradas. Duas delas, cada uma com pontuação 8,8 no CVSS, afetam a interface de gerenciamento do SonicOS. Uma é um problema de política de domínio cruzado permissiva, e a outra é uma falha na validação de sessão.
Em certas circunstâncias, um atacante remoto poderia abusar de qualquer uma delas sem fazer login para realizar ações não autorizadas.
Três das falhas restantes são estouros de buffer pré-autenticação no serviço SSL VPN e no cliente de autenticação TACACS+ (protocolo de controle de acesso de terminal). Atacantes poderiam usá-las para lançar ataques de negação de serviço (DoS) no nível da aplicação.
A última é um problema de hash de senha fraco em appliances virtuais. Um atacante que já tenha acesso local com altos privilégios poderia explorá-la para obter uma credencial da plataforma, que dá acesso a algumas configurações da plataforma.
Agentes de ameaça frequentemente exploram vulnerabilidades de produtos da SonicWall. O catálogo KEV da CISA inclui atualmente 20 falhas de segurança, mas a agência ainda não adicionou a CVE-2026-102255, que invasores passaram a atacar no mês passado, poucos dias após sua divulgação.
