SonicWall alerta para nova falha de bypass de MFA no SSL-VPN explorada em ataques

A falha, rastreada como CVE-2026-19868, tem CVSS 7.1 e afeta apenas serviços SSL-VPN do SonicOS configurados para autenticação SAML. Um atacante que já tenha credenciais de um método de autenticação alternativo consegue contornar os controles SAML, o que pode incluir a MFA aplicada via SAML. Ou seja, não é um acesso sem nenhuma credencial: o invasor precisa de um ponto de partida.

O PSIRT da SonicWall investigou um relatório de possível exploração e pediu atualização o mais rápido possível. A empresa não deu detalhes do ataque, mas a CISA incluiu a CVE no catálogo KEV, o que confirma exploração real, e deu aos órgãos civis federais dos EUA até 20 de novembro de 2026 para corrigir. A descoberta foi de Ryan Harris, da The Electronic Office.

O pacote corrige ao todo sete falhas. Há duas falhas na interface de gerenciamento, com severidade 8.8, que permitem operações não autorizadas por atacantes sem autenticação sob condições específicas. Há também buffer overflows pré-autenticação no SSL-VPN e no TACACS+ que podem causar negação de serviço, e uma falha de hashing fraco de senhas em appliances virtuais. Estão afetados o SonicOS Gen7 até a 7.3.3-7015 e o Gen8 até a 8.2.2-8015. As correções estão nas versões 7.3.4-7013 e 8.2.3-8015, e a SonicWall diz que não há workarounds.

Esta é uma linha de produto diferente, mas o histórico recente da SonicWall pesa. Em 16 de julho de 2026, o CEVIU noticiou o alerta "Alerta Crítico: Vulnerabilidades Zero-Day no SonicWall SMA1000 Estão Sendo Exploradas", sobre duas zero-days nos appliances SMA1000, uma delas SSRF com CVSS 10. Segundo a fonte atual, vieram depois ataques encadeando duas zero-days em setembro e tentativas de exploração de uma falha de severidade máxima em outubro. Agora o alvo é o SonicOS SSL-VPN, não o SMA1000.

Para quem opera firewalls SonicWall com SSL-VPN e SAML, o cenário pede ação imediata: como não há workaround, a atualização é o único caminho. Vale revisar também quais métodos alternativos de autenticação estão habilitados, já que o ataque depende deles. Em leitura editorial, a MFA via SAML não deve ser tratada como barreira única em borda de rede. A sequência de ataques a produtos da SonicWall também sugere acompanhar de perto os avisos do fabricante.