CVE-⁠2026-⁠19868 in SonicOS – SAML-⁠SSL-⁠VPN gezielt aktualisieren

CVE-⁠2026-⁠19868 umgeht bei bestimmten SonicOS-SSL-VPN-Konfigurationen SAML-⁠Kontrollen und wurde bereits in Angriffen ausgenutzt. Dafür benötigen Angreifer gültige Zugangsdaten für eine alternative Authentifizierungsmethode; betroffen sein kann auch eine über SAML erzwungene MFA.

Die Lücke betrifft SSL-⁠VPN mit SAML

Die Schwachstelle betrifft nicht pauschal jeden SonicOS-⁠Zugang. Entscheidend ist die Konfiguration: Der SSL-⁠VPN-⁠Dienst muss SAML-⁠Authentifizierung verwenden. Ein Angreifer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode kann dann die SAML-⁠Kontrollen umgehen. Das schließt möglicherweise auch eine MFA ein, die über SAML erzwungen wird.

Der CVSS-⁠Wert liegt bei 7,1. Für die Priorisierung ist aber ebenso wichtig, dass die Schwachstelle nicht nur theoretisch beschrieben wurde: SonicWall untersuchte einen Bericht über einen Angriff, und die US-⁠Cybersicherheitsbehörde CISA nahm CVE-⁠2026-⁠19868 in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Das ist ein konkreter Anlass, betroffene Systeme zeitnah zu prüfen und zu aktualisieren.

Die Meldung bedeutet nicht, dass jeder SonicOS-⁠Zugang ohne Zugangsdaten offensteht. Der beschriebene Weg setzt gültige Zugangsdaten für eine alternative Authentifizierungsmethode voraus. Gerade deshalb sollten Unternehmen nicht allein auf die Frage schauen, ob MFA eingeschaltet ist. Entscheidend ist, ob die betroffene SSL-⁠VPN-⁠Instanz SAML nutzt und welche Anmeldewege für sie eingerichtet sind.

Das Update behebt sieben Schwachstellen

SonicWall hat mit dem Update insgesamt sieben Schwachstellen in SonicOS behoben. Neben dem SAML-Authentifizierungsproblem nennt die Meldung zwei Schwachstellen in der Verwaltungsoberfläche mit einem CVSS-⁠Wert von 8,8. Sie könnten es nicht authentifizierten Angreifern unter bestimmten Bedingungen ermöglichen, unautorisierte Aktionen auszuführen.

Weitere Fehler betreffen vor der Authentifizierung erreichbare Pufferüberläufe in den Diensten SSL-⁠VPN und TACACS+. Sie könnten einen Denial-⁠of-⁠Service auslösen. Eine weitere Schwachstelle betrifft eine schwache Passwort-⁠Hashing-⁠Methode in virtuellen Appliances. Die sieben Fehler sind also nicht alle derselbe Angriffstyp und sollten nicht zu einer einzigen pauschalen Beschreibung zusammengezogen werden.

Für den Betrieb zählt trotzdem der gemeinsame Korrekturstand: Die genannten SonicOS-⁠Versionen enthalten die Fehlerbehebungen zusammen. Wer nur nach SAML-⁠SSL-⁠VPN sucht, kann daher andere Schwachstellen aus demselben Update übersehen. Prüfen Sie die installierte SonicOS-⁠Generation und den Versionsstand, statt die Aktualisierung allein von der SAML-⁠Konfiguration abhängig zu machen.

Betroffene Versionen und korrigierte Stände

Betroffen sind SonicOS Gen7 bis einschließlich Version 7.3.3-7015 sowie Gen8 bis einschließlich Version 8.2.2-8015. SonicWall nennt Version 7.3.4-7013 für Gen7 und Version 8.2.3-8015 für Gen8 als korrigierte Stände. Für die beschriebenen Schwachstellen gibt es laut Hersteller keine Workarounds.

Ordnen Sie Ihre Firewall zuerst der richtigen Generation zu und vergleichen Sie den installierten Versionsstand mit der jeweiligen Grenze. Wird eine betroffene Version eingesetzt, planen Sie das passende korrigierte Update ein. Die Versionsnummern der beiden Generationen sind nicht austauschbar: Ein Update für Gen7 ist kein Ersatz für den korrigierten Gen8-⁠Stand und umgekehrt.

CISA setzte für US-⁠Bundesbehörden eine Frist bis zum 20. November 2026, um betroffene Systeme abzusichern. Diese Vorgabe richtet sich an Bundesbehörden und ist keine allgemeine Frist für Unternehmen. Sie unterstreicht jedoch, dass die Behörde die Lücke als aktiv ausgenutzt einstuft. Für private Organisationen ist die technische Betroffenheit der Firewall der maßgebliche nächste Prüfpunkt.

SAML-⁠Konfiguration und Versionsstand zusammen betrachten

Die Meldung nennt außerdem frühere Angriffe auf SonicWalls SMA1000-⁠Appliances. Diese betreffen andere Geräte und andere Schwachstellen als die hier behandelten Fehler in SonicOS. Vermischen Sie die Vorfälle daher nicht: Für CVE-⁠2026-⁠19868 geht es konkret um SonicOS-⁠SSL-⁠VPN mit SAML, während die SMA1000-⁠Meldungen einen eigenen Produkt-⁠ und Schwachstellenkontext haben.

Die belastbare Entscheidung ist damit klar: Ermitteln Sie, ob Gen7-⁠ oder Gen8-⁠SonicOS in einem betroffenen Versionsstand läuft, und aktualisieren Sie auf den dafür genannten korrigierten Stand; prüfen Sie bei SSL-⁠VPN zusätzlich, ob SAML eingesetzt wird.

Quellen: BleepingComputer – „SonicWall warns of new SSL-⁠VPN MFA bypass flaw exploited in attacks“ (https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/)