CISA ha incluido la vulnerabilidad CVE-2026-19868 de SonicWall SonicOS SSLVPN en su catálogo de vulnerabilidades explotadas. Esta falla permite que usuarios con credenciales válidas evadan los controles de autenticación SAML y, potencialmente, el sistema de autenticación de múltiples factores (MFA). El plazo establecido para corregir este problema es el 20 de noviembre de 2026.

CISA ha añadido una vulnerabilidad de SonicWall SonicOS SSLVPN, CVE-2026-19868, a su catálogo de Vulnerabilidades Explotadas Conocidas, advirtiendo que los usuarios con credenciales válidas pueden saltarse los controles de autenticación SAML y, potencialmente, evadir la autenticación de múltiples factores.

CISA añadió la vulnerabilidad el 6 de noviembre de 2026 y fijó como fecha límite para su remediación el 20 de noviembre. Su entrada indica que el uso de ransomware es desconocido y no requiere un triaje forense bajo la Directiva Operativa Vinculante 26-04. Aun así, debes evaluar tu exposición y seguir la guía obligatoria del proveedor.

Vulnerabilidad de SonicWall SonicOS SSLVPN Explotada

La vulnerabilidad afecta a la aplicación de la autenticación en SonicOS SSLVPN. Según el registro de la CVE, alguien con credenciales válidas para un método de autenticación alternativo puede saltarse los controles aplicados a través de SAML. Una explotación exitosa también podría evadir el MFA impuesto mediante ese proceso de inicio de sesión SAML.

SAML permite que una organización gestione los inicios de sesión a través de un proveedor de identidad central. El riesgo aquí es que otra ruta de autenticación puede permitir el acceso sin completar las comprobaciones esperadas. Esto no se describe como un ataque sin contraseña; se siguen requiriendo credenciales válidas para un método alternativo.

El fallo está clasificado como CWE-308, o uso de autenticación de factor único. Esta debilidad ocurre cuando un sistema acepta un solo factor de autenticación, como una contraseña, cuando debería requerir comprobaciones adicionales. El resultado puede socavar la protección incluso cuando creas que el MFA cubre el acceso remoto.

El registro de la CVE identifica las plataformas afectadas Gen7 y Gen8 que ejecutan SonicOS 7.3.3-7015 y anteriores, y 8.2.2-8015 y anteriores, respectivamente. Un informe anterior sobre la vulnerabilidad de SonicWall SSLVPN enumera las versiones corregidas como 7.3.4-7013 para Gen7 y 8.2.3-8015 para Gen8, o versiones posteriores compatibles. La puntuación CVSS reportada es de 7.1.

La advertencia de SonicWall describió inicialmente un informe de explotación potencial. La posterior entrada en el catálogo de CISA aumenta la urgencia para los defensores.

Sin embargo, la información disponible no identifica a los atacantes, las organizaciones afectadas ni el número de incidentes confirmados. La implicación de ransomware no debe presentarse como algo establecido.

Ataques anteriores de omisión de autenticación de SonicWall involucraron la CVE-2024-53704, un fallo distinto que permitía el secuestro de sesiones sin autenticación. No debes aplicar los detalles de esos ataques a esta vulnerabilidad, que tiene requisitos de acceso diferentes.

Debes revisar los modelos de tus dispositivos, las versiones de firmware, la configuración de SAML y la exposición a internet antes de aplicar la actualización correspondiente. El aviso de seguridad de SonicWall debe guiar tus decisiones de implementación. La cobertura publicada no indica ninguna solución alternativa, lo que convierte la actualización del firmware en el principal paso de remediación.

Tu equipo de seguridad también debe revisar los métodos de inicio de sesión habilitados y la actividad de la VPN en busca de accesos inesperados. No debes tratar una configuración de MFA por sí sola como prueba de que cada ruta de autenticación aplica las mismas comprobaciones. Confirmar esos controles después del parcheo te ayuda a asegurar que la política de acceso remoto prevista se esté aplicando realmente.