SonicWall SonicOS SSLVPN: SAML und MFA können umgangen werden (CVE-2026-19868)

Was passiert ist

Am 6. November 2026 wurde CVE-2026-19868 für die SSLVPN-Komponente von SonicWall SonicOS veröffentlicht. SonicWall führt die Schwachstelle unter SNWLID-2026-0014. Der CVSS-Basiswert liegt bei 7,5.

Bei der Schwachstelle handelt es sich um einen Fall von Einfaktor-Authentifizierung. Ein Benutzer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode kann die SAML-Authentifizierungskontrollen auf dem SSLVPN umgehen. Wird SAML zur Durchsetzung von Multi-Faktor-Authentifizierung (MFA) genutzt, kann auch diese MFA umgangen werden. In der Praxis kann bereits ein gestoßenes oder erratenes Passwort für eine andere Anmeldemethode ausreichen, um eine VPN-Sitzung zu öffnen, für die SAML und ein zweiter Faktor erforderlich sein sollten.

Am selben Tag nahm CISA CVE-2026-19868 in seinen Katalog bekannter ausgenutzter Schwachstellen auf. CISA macht keine Angaben zu den Angriffen. CISA empfiehlt Organisationen, die Gegenmaßnahmen gemäß den Anweisungen von SonicWall anzuwenden, und die Nutzung des Produkts einzustellen, falls keine Gegenmaßnahmen verfügbar sind.

Wer betroffen ist

• SonicWall-Firewalls mit SonicOS und aktiviertem SSLVPN in Umgebungen, die für den VPN-Zugang SAML-Authentifizierung nutzen (häufig mit per SAML erzwungener MFA).
• Die Umgehung erfordert gültige Zugangsdaten für eine alternative Authentifizierungsmethode. Gefährdet sind Umgebungen, in denen neben SAML weitere Anmeldemethoden am SSLVPN zugelassen sind.
• Die Schwachstelle liegt in der SSLVPN-Komponente. Nach der Beschreibung sind Geräte ohne SSLVPN über diese Schwachstelle nicht gefährdet.
• Die uns vorliegenden Daten nennen keine betroffenen und korrigierten SonicOS-Versionen. Die genauen Versionen und die Anweisungen des Herstellers finden Sie im unten verlinkten SonicWall-Advisory SNWLID-2026-0014.

Wenn Sie SonicWall-Firewalls für Kunden betreuen, prüfen Sie jedes Gerät, das SSLVPN-Zugang zu internen Netzen, Servern oder Administrationsoberflächen bietet.

Was Sie jetzt tun sollten

1. Erfassen Sie alle von Ihnen betreuten SonicWall-Firewalls mit aktiviertem SSLVPN und notieren Sie deren SonicOS-Version.
2. Erstellen Sie vor jeder Änderung ein Konfigurationsbackup jedes Geräts.
3. Öffnen Sie das SonicWall-Advisory SNWLID-2026-0014 und prüfen Sie, ob Ihre SonicOS-Version betroffen ist. Spielen Sie anschließend die korrigierte Firmware ein oder setzen Sie die dort beschriebenen Gegenmaßnahmen um. Planen Sie einen Neustart der Firewall ein.
4. Bis das Gerät korrigiert ist, beschränken Sie den SSLVPN-Zugang so weit wie möglich, zum Beispiel auf bekannte Quell-IP-Adressen. Wird SSLVPN nicht zwingend benötigt, schalten Sie es ab. Prüfen Sie, welche anderen Authentifizierungsmethoden als SAML sich noch am SSLVPN anmelden können, und entfernen Sie nicht benötigte.
5. Setzen Sie die Passwörter von Konten zurück, die sich über andere Methoden als SAML am SSLVPN anmelden können, insbesondere lokale Konten und Dienstkonten. Entfernen Sie Konten, die nicht mehr benötigt werden.
6. Stellen Sie nach dem Update sicher, dass das SSLVPN funktioniert und Anmeldungen wieder wie erwartet über SAML und MFA laufen.

So prüfen Sie, ob Sie betroffen sind

• Vergleichen Sie die SonicOS-Version jedes Geräts mit den betroffenen Versionen im SonicWall-Advisory SNWLID-2026-0014.
• Prüfen Sie die SSLVPN-Konfiguration, ob SAML verwendet wird und ob zusätzlich andere Authentifizierungsmethoden akzeptiert werden.
• Werten Sie die SSLVPN-Anmeldeprotokolle aus, mindestens seit dem 6. November 2026 und möglichst weiter zurück. Achten Sie auf Sitzungen ohne SAML oder MFA, Anmeldungen von unbekannten IP-Adressen oder Ländern und Anmeldungen von Konten, die den VPN normalerweise nicht nutzen.
• Falls Sie verdächtige Sitzungen finden, prüfen Sie, auf welche internen Systeme diese Sitzungen zugegriffen haben. Behandeln Sie die beteiligten Zugangsdaten als kompromittiert und setzen Sie sie zurück.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-19868
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog