SonicWall ha advertido a sus clientes que parcheen una vulnerabilidad de SonicOS SSLVPN que podría permitir a los atacantes saltarse la autenticación SAML y sus comprobaciones de autenticación multifactor (MFA).

Identificada como CVE-2026-19868, el fallo tiene una puntuación CVSS de 7.1. La empresa ha investigado un informe que indica una posible explotación y te insta encarecidamente a que actualices el sistema rápidamente.

El problema afecta a SSLVPN únicamente cuando SAML está habilitado para los inicios de sesión. Un atacante debe poseer credenciales válidas para un método de autenticación alternativo, lo que diferencia esto de un bypass de inicio de sesión que no requiere cuenta. Bajo las condiciones afectadas, esas credenciales podrían permitir el acceso sin pasar por los controles de SAML destinados a proteger la conexión.

SAML permite que las organizaciones utilicen un proveedor de identidad central para gestionar los inicios de sesión de los usuarios. En este caso, la debilidad se refiere a la aplicación de la autenticación a través de otro método de inicio de sesión, más que a un fallo declarado en el propio SAML.

Una explotación exitosa también podría omitir el MFA impuesto a través de SAML, dejando un hueco entre la política de seguridad que los administradores esperan y las comprobaciones que realmente se aplican.

Ryan Harris, de The Electronic Office, informó sobre la vulnerabilidad. SonicWall la incluye entre siete problemas en su último aviso. Aunque la advertencia de explotación aumenta la urgencia, los detalles proporcionados no identifican a los atacantes, las víctimas, las fechas de los ataques ni la escala de la actividad. Por lo tanto, describir una campaña generalizada y confirmada iría más allá de la evidencia disponible.

La cobertura anterior sobre el bypass de autenticación de SonicWall SSLVPN muestra por qué los fallos de acceso remoto merecen atención. Sin embargo, ese informe se refería a CVE-2024-53704, una vulnerabilidad distinta.

Su comportamiento de secuestro de sesión no debe tratarse como evidencia de cómo funciona CVE-2026-19868 o de lo que los atacantes han hecho con este problema recién revelado.

Vulnerabilidad de SonicOS SSLVPN Explotada

El aviso de seguridad de SonicWall, publicado el 6 de noviembre, también enumera CVE-2026-107155 y CVE-2026-107154. Ambos tienen una puntuación de 8.8 y afectan a la interfaz de gestión. Implican una política de dominio cruzado permisiva y una validación de sesión, respectivamente, y podrían permitir operaciones no autorizadas bajo condiciones específicas. Sus vectores incluyen la interacción obligatoria del usuario.

CVE-2026-82308 es un desbordamiento de búfer de montón (heap buffer overflow) previo a la autenticación en SSLVPN, calificado con 7.5. CVE-2026-77708 y CVE-2026-77709 afectan al cliente de autenticación TACACS+, y cada uno tiene una puntuación de 5.9. Estos fallos podrían causar una denegación de servicio a nivel de aplicación. CVE-2026-19703, calificado con 5.2, podría exponer una credencial de plataforma limitada en dispositivos virtuales a un atacante con acceso local existente.

Las versiones afectadas incluyen el hardware Gen7 y los dispositivos NSv que ejecutan SonicOS 7.3.3-7015 o anterior, y el hardware Gen8 y los dispositivos NSv que ejecutan 8.2.2-8015 o anterior. SonicWall indica correcciones en 7.3.4-7013 y posteriores para Gen7, y 8.2.3-8015 y posteriores para Gen8. No se ha indicado ninguna solución alternativa (workaround).

Como administrador, debes priorizar el parcheo, confirmar la generación de tu dispositivo e instalar la versión corregida correspondiente. Los informes previos de vulnerabilidades de SonicOS cubren fallos y correcciones de firmware diferentes, por lo que las guías de parcheo antiguas no deben sustituir los requisitos de este aviso. Revisa los métodos de autenticación habilitados y comprueba la actividad de inicio de sesión de la VPN mientras completas la actualización.