SonicWall выпустила исправления для семи уязвимостей в SonicOS, но приоритет у администраторов один: обход MFA SonicWall в SSL-VPN уже фигурирует в реальных атаках. Ошибка CVE-2026-19868 позволяет обойти SAML-аутентификацию, включая принудительно подключённый второй фактор, если у атакующего есть действующие учётные данные для альтернативного способа входа. Для компаний, где межсетевые экраны SonicWall стоят на периметре и открывают удалённый доступ, это повод не откладывать плановое обновление.
Об инциденте сообщает BleepingComputer. Уязвимость получила оценку 7,1 по CVSS и затрагивает не все устройства подряд, а SSL-VPN на SonicOS, настроенный на SAML-аутентификацию. Именно эта деталь делает проблему особенно неприятной: организация может считать MFA обязательным барьером для удалённых сотрудников и подрядчиков, тогда как альтернативный путь проверки учётных данных даёт возможность этот барьер обойти.
Проблему обнаружил и сообщил о ней Райан Харрис из The Electronic Office. SonicWall подтверждает, что изучила сообщение о возможной эксплуатации, но технические детали атаки и её масштаб не раскрыла. Независимое подтверждение того, что это не только теоретический риск, появилось со стороны американского агентства CISA: оно внесло CVE-2026-19868 в каталог Known Exploited Vulnerabilities. Федеральным гражданским ведомствам США предписано защитить уязвимые системы до 20 ноября 2026 года.
Сценарий атаки требует валидных данных для альтернативного метода аутентификации, поэтому это не история об анонимном сканировании интернета с немедленным захватом любого доступного VPN-шлюза. Но практическая граница защиты здесь становится опасно тонкой. Фишинг, повторно использованный пароль, утечка учётной записи подрядчика или компрометация менее строгого провайдера идентификации могут превратить «вход с MFA» в доступ без второго фактора. Для SOC это также означает, что успешная VPN-сессия сама по себе не доказывает прохождение ожидаемой SAML-проверки.
Исправления вышли в SonicOS 7.3.4-7013 и 8.2.3-8015. Под риск попадают устройства Gen7 с версией 7.3.3-7015 и ниже, а также Gen8 с 8.2.2-8015 и ниже. Обходных мер SonicWall не предложила: компания прямо рекомендует обновиться до актуального выпуска. В условиях уже подтверждённой эксплуатации попытка компенсировать патчинг только сетевыми правилами или дополнительным мониторингом выглядит слабой заменой исправлению.
В том же пакете закрыты ещё шесть проблем SonicOS. Две уязвимости в интерфейсе управления оценены в 8,8 балла: при определённых условиях неаутентифицированный атакующий может выполнить несанкционированные операции. Также исправлены переполнения буфера до аутентификации в SSL-VPN и TACACS+, способные привести к отказу в обслуживании, и слабое хеширование паролей в виртуальных устройствах. Даже если конкретная организация не использует SAML, пакет обновлений нельзя сводить лишь к CVE-2026-19868.
Администраторам стоит сначала инвентаризировать SonicWall с включённым SSL-VPN, проверить версии SonicOS и схему аутентификации, затем запланировать обновление с проверкой доступности удалённого входа после перезагрузки. Отдельно полезно просмотреть журналы VPN и провайдера идентификации на предмет входов, где обычная цепочка SAML-событий отсутствует или выглядит нетипично. Стоит также проверить, какие альтернативные способы входа всё ещё разрешены: именно сочетание нескольких механизмов аутентификации часто оставляет лазейку между аккуратно настроенными политиками.
Предупреждение продолжает неприятную для владельцев сетевого периметра серию. В октябре исследователи фиксировали попытки эксплуатации максимальной по критичности CVE-2026-102255 в устройствах SonicWall SMA1000. В сентябре злоумышленники связывали две неизвестные ранее уязвимости SMA1000 для удалённого выполнения кода, а в июле применяли ещё две ошибки нулевого дня для установки вредоносного ПО. SonicOS и SMA1000 — разные линейки, но для защитников вывод общий: удалённый доступ остаётся одной из самых выгодных точек входа в корпоративную сеть.
История с обходом MFA SonicWall показывает и более широкий изъян в подходе к многофакторной защите. MFA не является свойством пользователя «вообще»; она работает лишь в той конкретной цепочке аутентификации, которую невозможно обойти через запасной маршрут. После установки патча компаниям придётся ответить на менее удобный вопрос: действительно ли все способы удалённого входа подчиняются одной политике, или обязательный второй фактор существует только на самой заметной странице авторизации.
