Falha no SonicOS permite burlar SAML em VPN; correção até 20/11

Segurança

Vulnerabilidade no SonicOS compromete autenticação em VPN SSL, exigindo atualização urgente até 20 de novembro.

Leia também: Google derruba botnet com 1,3 milhão de set-top boxes Android

A SonicWall lançou uma atualização emergencial para o SonicOS após identificar uma vulnerabilidade no serviço de VPN SSL que permite burlar a autenticação SAML e, com ela, a autenticação multifator, em firewalls corporativos e governamentais. A falha, rastreada como CVE-2026-19868, já aparece em catálogo oficial de vulnerabilidades exploradas em ataques e precisa ser corrigida até 20 de novembro por agências federais dos Estados Unidos.

Falha permite acesso remoto ignorando SAML e MFA

A vulnerabilidade atinge diretamente o componente SSL VPN do SonicOS. Segundo a descrição técnica divulgada pela fabricante, “an authentication enforcement vulnerability in SonicOS SSLVPN service may allow a user with valid credentials for an alternate authentication method to bypass SAML authentication controls. Successful exploitation may also bypass SAML-enforced multi-factor authentication (MFA)”.

Na prática, um usuário que já tenha credenciais válidas em outro método de autenticação pode contornar as verificações SAML quando essa opção estiver habilitada na VPN, inclusive evitando o uso de múltiplos fatores. O problema foi classificado com pontuação CVSS 7.1, nível alto de gravidade, e afeta cenários em que organizações dependem de SAML e MFA para proteger o acesso remoto.

A SonicWall informou que sua equipe de segurança “has investigated a report indicating potential exploitation of this vulnerability”, o que indica suspeita de ataques reais, embora detalhes sobre incidentes não tenham sido divulgados.

Quais dispositivos SonicWall são afetados?

O CVE-2026-19868 atinge firewalls das gerações mais recentes da SonicWall. Estão vulneráveis:

– Equipamentos Gen7 das linhas TZ, NSa, NSsp e NSv rodando SonicOS 7.3.3-7015 ou versões anteriores.
– Equipamentos Gen8 das linhas TZ, NSa e NSv com SonicOS 8.2.2-8015 ou anteriores.

A correção está disponível nas versões SonicOS 7.3.4-7013 e 8.2.3-8015. A própria SonicWall reforça que não há solução alternativa temporária: é preciso atualizar. Em comunicado, a empresa afirma que clientes “are strongly urged to upgrade to the latest release as soon as possible to mitigate the associated risks”.

Entenda o contexto

A falha foi reportada pelo pesquisador Ryan Harris, da The Electronic Office, e é uma entre sete vulnerabilidades detalhadas no mesmo aviso de segurança da SonicWall. O caso ganhou peso extra porque a agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu o CVE-2026-19868 no catálogo de vulnerabilidades conhecidas por serem exploradas, gatilho que obriga órgãos federais a agir.

Pelas regras da Binding Operational Directive 26-04, essas agências têm até 20 de novembro para mitigar o problema em seus ambientes, prazo que tende a servir de referência também para empresas privadas e outros órgãos públicos que usam os equipamentos Gen7 e Gen8 em infraestrutura crítica e redes corporativas.

A CISA já lista hoje 20 brechas em produtos SonicWall como exploradas ativamente, o que reforça o apetite de grupos maliciosos por essa base instalada de firewalls voltados a acesso remoto seguro.

Outras seis vulnerabilidades elevam o risco

Além do CVE-2026-19868, a SonicWall detalhou mais seis falhas no SonicOS, todas corrigidas nas novas versões. Duas delas, com pontuação CVSS 8.8, afetam a interface de gerenciamento do sistema e podem permitir ações não autorizadas sem que o invasor precise se autenticar, em cenários específicos. Um dos problemas envolve política permissiva de domínio cruzado; o outro, falha na validação de sessão.

Outras três vulnerabilidades são estouros de buffer em componentes de autenticação: duas no serviço de VPN SSL e uma no cliente TACACS+. Como são falhas pré-autenticação, podem ser usadas para provocar negação de serviço (DoS) em nível de aplicação, derrubando ou instabilizando o acesso remoto.

O sétimo problema diz respeito a hashing fraco de senhas em appliances virtuais. Um invasor com acesso local altamente privilegiado poderia explorar essa brecha para obter uma credencial de plataforma, ganhando acesso a parte das configurações do sistema.

A SonicWall afirma que, até o momento, apenas a falha SAML foi associada a relatos de possível exploração. As demais não foram marcadas oficialmente como usadas em ataques, mas compartilham a mesma base instalada, o que aumenta a urgência da atualização em ambientes corporativos e de governo.

Impacto para redes corporativas e órgãos públicos

Como o componente vulnerável é a VPN SSL, a brecha atinge diretamente o modelo de trabalho remoto adotado por empresas e órgãos públicos, que se apoiam em SAML e MFA para reforçar a segurança do login. Com o bypass, um usuário mal-intencionado ou um atacante que tenha obtido credenciais válidas em outro método poderia acessar recursos internos sem passar pelo fluxo completo de autenticação esperado.

Para equipes de segurança e TI, a orientação é priorizar o inventário de dispositivos SonicWall das séries Gen7 e Gen8, planejar janelas de manutenção e aplicar as versões corrigidas do SonicOS o quanto antes, monitorando em paralelo os logs de acesso remoto em busca de comportamentos anômalos que possam indicar uso indevido da falha.