SonicWall ha confirmado que atacantes están explotando un fallo en sus firewalls SonicOS que permite saltarse la autenticación SAML —y con ella el MFA— al entrar por SSL-VPN. La vulnerabilidad, CVE-2026-19868, fue corregida el 6 de noviembre de 2026, el mismo día en que CISA la añadió a su catálogo de vulnerabilidades explotadas (KEV) y dio de plazo hasta el 20 de noviembre a las agencias federales de Estados Unidos para parchearla. El Centro Canadiense de Ciberseguridad también ha avisado de la explotación activa en su aviso AV26-1133.
Qué ha pasado
El 6 de noviembre, SonicWall publicó el aviso de seguridad SNWLID-2026-0014 con parches para siete vulnerabilidades de SonicOS, el sistema operativo de sus firewalls. La más grave por su contexto —aunque no por su puntuación— es CVE-2026-19868, un fallo de aplicación de la autenticación (CWE-308, uso de autenticación de un solo factor) en el servicio SSL-VPN, con una puntuación CVSS de 7.1.
SonicWall reconoce que su equipo de respuesta a incidentes (PSIRT) investigó un informe que indicaba una posible explotación de la vulnerabilidad y urge a los clientes a actualizar cuanto antes. La empresa no ha publicado detalles del ataque ni ha identificado a los responsables, pero la inclusión en el KEV de CISA confirma que el fallo se está explotando en el mundo real.
El fallo fue descubierto y reportado por Ryan Harris, de The Electronic Office.
Cómo funciona el fallo
El problema afecta solo a los firewalls SonicOS en los que el inicio de sesión de la SSL-VPN se hace a través de SAML, el protocolo de inicio de sesión único que muchas organizaciones usan para que su proveedor de identidad aplique el segundo factor (MFA).
La debilidad está en cómo SonicOS aplica los controles de autenticación cuando existe más de un método de inicio de sesión. Un atacante que ya tenga credenciales válidas para un método alternativo de autenticación en el mismo firewall puede usar esa vía para saltarse el paso SAML —y, con él, el prompt de MFA que la organización creía estar imponiendo a todos los accesos VPN.
Hay que ser preciso con el alcance: no es un bypass sin credenciales. El atacante necesita credenciales válidas de un método alternativo. Pero una vez dentro de esa puerta, el control que supuestamente protegía el acceso remoto —el MFA— simplemente no se aplica. Es un fallo de consistencia en la política de autenticación, no una derrota criptográfica de SAML.
El vector CVSS (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N) describe explotación por red, complejidad de ataque alta, privilegios bajos y sin interacción del usuario, con un impacto alto en la confidencialidad.
A quién afecta
El fallo afecta a los firewalls Gen7 con SonicOS 7.3.3-7015 o anterior y a los Gen8 con SonicOS 8.2.2-8015 o anterior. Esto incluye firewalls físicos TZ, NSa y NSsp, además de los appliances virtuales NSv. Las versiones corregidas son 7.3.4-7013 (Gen7) y 8.2.3-8015 (Gen8). SonicWall no ofrece ninguna solución temporal: la única mitigación es actualizar.
La condición clave es que SAML esté habilitado para los inicios de sesión de la SSL-VPN. Un firewall SonicOS sin SAML en la VPN no es vulnerable a este CVE en concreto, aunque el aviso corrige otros seis fallos que sí podrían afectarle.
Las otras seis vulnerabilidades del aviso
SNWLID-2026-0014 corrige además dos fallos de la interfaz de gestión con puntuación 8.8 —CVE-2026-107154 (validación de sesión basada en la dirección IP) y CVE-2026-107155 (política de seguridad entre dominios permisiva)— que permiten a atacantes no autenticados realizar operaciones no autorizadas en condiciones específicas. El resto son desbordamientos de búfer pre-autenticación en los servicios SSL-VPN y TACACS+ que pueden provocar denegación de servicio, y una debilidad en el hash de contraseñas de los appliances virtuales.
El contexto: SonicWall lleva meses en el punto de mira
El aviso llega tras una serie de ataques contra los appliances de acceso remoto SonicWall SMA1000. En octubre se detectaron intentos de explotación de CVE-2026-102255, una vulnerabilidad de severidad máxima que permite a atacantes no autenticados acceder a funcionalidad interna. Esos intentos siguieron a los ataques de septiembre, que encadenaron dos zero-days de SMA1000 para lograr ejecución remota de código, y a los de julio, que explotaron otros dos zero-days para desplegar malware en appliances vulnerables.
El patrón es claro: los appliances de acceso remoto perimetral son uno de los objetivos favoritos de los atacantes, porque una sola credencial comprometida o un solo fallo de autenticación abre la puerta a la red interna. Y en el caso de CVE-2026-19868, el objetivo es especialmente valioso: el MFA es el control en el que muchas organizaciones confían para que una contraseña robada no baste.
Qué hacer
- Actualiza ya. Instala SonicOS 7.3.4-7013 o superior en Gen7, y 8.2.3-8015 o superior en Gen8. No hay workaround: el parche es la única mitigación.
- Revisa quién ha entrado por SSL-VPN. Busca inicios de sesión de VPN que no pasaron por SAML en los días previos al parche, especialmente desde IPs o ubicaciones inusuales, o con credenciales de métodos alternativos que no deberían usarse para acceso remoto.
- Rota las credenciales sospechosas. Si encuentras un acceso anómalo, asume que esas credenciales están comprometidas: cámbialas y revisa qué sesiones se abrieron con ellas.
- Audita los métodos de autenticación. Revisa qué métodos alternativos están habilitados en la SSL-VPN y desactiva los que no sean necesarios. Cada método de login es una puerta; si no pasa por SAML y MFA, no debería existir para el acceso remoto.
- Revisa los otros seis CVE del aviso. Si tu firewall es vulnerable a los fallos de la interfaz de gestión (8.8), comprueba que esa interfaz no sea accesible desde internet.
El ángulo Blue Team: qué vigilaría un SOC
Este caso es un recordatorio de que el MFA no es una propiedad del usuario, sino de la ruta de autenticación. Un SOC debería vigilar:
- Inicios de sesión VPN sin SAML. Cualquier login de SSL-VPN que no genere un evento de autenticación SAML es una anomalía: alerta sobre él aunque las credenciales sean válidas.
- Uso de métodos de autenticación alternativos. Si la organización definió SAML como el único método para la VPN, un login por LDAP local, RADIUS u otro método es un indicador de compromiso, no una curiosidad.
- Sesiones VPN fuera de horario o de geografía habitual, combinadas con el punto anterior: es la firma clásica de credenciales robadas aprovechando un bypass.
- Cambios en la configuración de autenticación del firewall. Un atacante con acceso a la gestión podría habilitar métodos alternativos; cualquier cambio en esa configuración debe generar una alerta de alta prioridad.
- Exposición de la interfaz de gestión. Los dos CVE de 8.8 del mismo aviso afectan a la interfaz de gestión: verifica que no esté expuesta a internet y monitoriza los intentos de acceso a ella.
La lección incómoda: el MFA estaba configurado y funcionando, y aun así no protegía. Cuando un control de seguridad depende de que todas las rutas pasen por él, una sola ruta alternativa lo anula por completo. Inventariar las rutas de autenticación —no solo los controles— es trabajo de Blue Team.
Fuentes
- BleepingComputer: SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks — https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/
- SonicWall PSIRT: Security advisory SNWLID-2026-0014 (6 de noviembre de 2026)
- CISA: Known Exploited Vulnerabilities Catalog — CVE-2026-19868, añadido el 6 de noviembre de 2026, fecha límite de remediación 20 de noviembre de 2026
- Canadian Centre for Cyber Security: Advisory AV26-1133 (6 de noviembre de 2026)
- GBHackers: Hackers Exploit SonicWall SSL-VPN Vulnerability to Bypass Multi-Factor Authentication in Active Attacks — https://gbhackers.com/sonicwall-ssl-vpn-vulnerability/
- Suriq: SonicOS CVE-2026-19868: SSL VPN SAML MFA Bypass Exploited — https://suriq.io/blog/sonicwall-sonicos-cve-2026-19868-saml-mfa-bypass