SonicWall SSLVPN: útočníci obcházejí přihlášení přes SAML a vícefázové ověření

Co se stalo

Firewally SonicWall se systémem SonicOS umějí fungovat i jako VPN brána (SSLVPN), přes kterou se zaměstnanci připojují do firemní sítě. Firmy často nastavují přihlášení do VPN přes SAML. Přihlášení pak vyřizuje firemní poskytovatel identit (například Microsoft Entra ID nebo Okta), který obvykle vynucuje i vícefázové ověření (MFA).

Chyba CVE-2026-19868 toto přihlášení oslabuje. Podle popisu v databázi NVD může uživatel, který má platné přihlašovací údaje pro jiný způsob přihlášení, obejít kontroly SAML. Útočník tak může obejít i MFA, pokud ho vynucuje SAML. Stačí mu tedy jméno a heslo, například z dřívějšího úniku nebo z phishingu, a druhý faktor mu přestává vadit.

Americká agentura CISA zařadila chybu 6. listopadu 2026 do katalogu prokazatelně zneužívaných zranitelností (KEV). Útoky tedy skutečně probíhají. Americké federální úřady musí chybu ošetřit do 20. listopadu 2026.

Jak vážné to je

Útočník potřebuje platné přihlašovací údaje, proto chyba nemá nejvyšší hodnocení. Právě před kradenými hesly ale firmy VPN chrání přes MFA. Když kontrola nefunguje, VPN chrání jen heslo. Napadená VPN je přitom pro útočníka vstupní branou do celé firemní sítě.

Koho se to týká

Organizací, které provozují SSLVPN na firewallech SonicWall. Podle NVD jsou zranitelné:

• SonicOS Gen7 ve verzi 7.3.3-7015 a starší,
• SonicOS Gen8 ve verzi 8.2.2-8015 a starší.

Riziko je nejvyšší tam, kde se do SSLVPN dá přihlásit přes SAML a zároveň i jiným způsobem (například lokálními účty na firewallu nebo přes LDAP). Běžní zaměstnanci, kteří se do VPN jen přihlašují, nemusí dělat nic. Jednat musí správce IT.

Co udělat

1. Zjistěte verzi SonicOS na firewallu (ve správcovském rozhraní) a jestli máte zapnuté SSLVPN.
2. Aktualizujte podle upozornění výrobce SNWLID-2026-0014 (odkaz ve zdrojích) na verzi, kterou výrobce uvádí jako opravenou. Čísla opravených verzí neuvádíme, protože stránka výrobce se nám bez JavaScriptu nenačetla a NVD je zatím neobsahuje.
3. Než aktualizujete, omezte přístup. CISA požaduje postupovat podle pokynů výrobce, a pokud ochrana není dostupná, produkt nepoužívat. Zvažte, jestli může SSLVPN dočasně přijímat spojení jen z ověřených adres, nebo ho úplně vypněte. Ověřte si také, které jiné způsoby přihlášení do SSLVPN máte vedle SAML povolené. Kde je nepotřebujete, vypněte je. To je naše doporučení odvozené z popisu chyby, ne pokyn výrobce.
4. Projděte přihlášení do VPN za poslední týdny. Hledejte přihlášení, která neprošla přes SAML, přihlášení z neobvyklých zemí nebo v neobvyklou dobu a účty, které se do VPN normálně nepřipojují.
5. Při podezření na zneužití změňte hesla dotčených účtů, ukončete jejich aktivní relace a prověřte, kam se z VPN připojovaly. Pokud vaše organizace spadá pod zákon o kybernetické bezpečnosti, postupujte podle svých povinností k hlášení incidentů.

Aktualizace

• 6. 11. 2026 – první verze článku.