SonicWall SonicOS SSLVPN: se puede eludir SAML y MFA (CVE-2026-19868)

Qué ocurrió

El 6 de noviembre de 2026 se publicó CVE-2026-19868 para el componente SSLVPN de SonicWall SonicOS. SonicWall lo registra como SNWLID-2026-0014. Tiene una puntuación base CVSS de 7,5.

El fallo es un caso de autenticación de un solo factor. Un usuario con credenciales válidas para un método de autenticación alternativo puede eludir los controles de autenticación SAML en el SSLVPN. Si SAML se utiliza para exigir autenticación multifactor (MFA), ese MFA también puede eludirse. En la práctica, una contraseña robada o adivinada de otro método de inicio de sesión podría bastar para abrir una sesión VPN que debería requerir SAML y un segundo factor.

El mismo día, CISA añadió CVE-2026-19868 a su catálogo de vulnerabilidades explotadas conocidas. CISA no ofrece detalles sobre los ataques. CISA indica a las organizaciones que apliquen las medidas de mitigación de acuerdo con las instrucciones de SonicWall y que dejen de usar el producto si no hay mitigaciones disponibles.

Quién está afectado

• Cortafuegos SonicWall con SonicOS y SSLVPN habilitado, en configuraciones que usan autenticación SAML (a menudo con MFA exigido a través de SAML) para el acceso VPN.
• La elusión requiere credenciales válidas para un método de autenticación alternativo. Las configuraciones en las que otros métodos de inicio de sesión, distintos de SAML, pueden autenticarse en el SSLVPN son las expuestas.
• La vulnerabilidad está en el componente SSLVPN. Según la descripción, los dispositivos que no utilizan SSLVPN no están expuestos por este fallo.
• Los datos disponibles para nosotros no indican las versiones de SonicOS afectadas ni las corregidas. Consulte el aviso de SonicWall SNWLID-2026-0014, enlazado más abajo, para conocer las versiones exactas y las instrucciones del fabricante.

Si administra cortafuegos SonicWall para clientes, revise todos los dispositivos que ofrezcan acceso SSLVPN a redes internas, servidores o interfaces de administración.

Qué hacer ahora

1. Liste todos los cortafuegos SonicWall que administra con SSLVPN habilitado y anote su versión de SonicOS.
2. Exporte una copia de seguridad de la configuración de cada dispositivo antes de realizar cualquier cambio.
3. Abra el aviso de SonicWall SNWLID-2026-0014 y compruebe si su versión de SonicOS está afectada. Después, aplique el firmware corregido o las medidas de mitigación que SonicWall describe allí. Planifique un reinicio del cortafuegos.
4. Hasta que el dispositivo esté corregido, limite todo lo posible el acceso SSLVPN, por ejemplo, a direcciones IP de origen conocidas. Si el SSLVPN no es estrictamente necesario, desactívelo. Revise qué métodos de autenticación distintos de SAML todavía pueden iniciar sesión en el SSLVPN y elimine los que no sean necesarios.
5. Restablezca las contraseñas de las cuentas que pueden iniciar sesión en el SSLVPN por métodos distintos de SAML, especialmente las cuentas locales y de servicio. Elimine las cuentas que ya no se necesiten.
6. Tras la actualización, compruebe que el SSLVPN funciona y que los inicios de sesión vuelven a pasar por SAML y MFA como se espera.

Cómo comprobar si está afectado

• Compare la versión de SonicOS de cada dispositivo con las versiones afectadas indicadas en el aviso SNWLID-2026-0014 de SonicWall.
• Revise la configuración del SSLVPN para ver si SAML está en uso y si también se aceptan otros métodos de autenticación.
• Revise los registros de inicio de sesión del SSLVPN, al menos desde el 6 de noviembre de 2026 y, idealmente, desde antes. Busque sesiones que no hayan pasado por SAML o MFA, inicios de sesión desde direcciones IP o países desconocidos, y inicios de sesión de cuentas que normalmente no usan la VPN.
• Si encuentra sesiones sospechosas, compruebe a qué accedieron dentro de la red interna. Considere comprometidas las credenciales implicadas y restablézcalas.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-19868
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog