SonicWall corrige CVE-2026-19868, un fallo que permite saltarse SAML y MFA en SSL-VPN

SonicWall ha publicado actualizaciones de seguridad para corregir siete vulnerabilidades en SonicOS, el sistema operativo de sus firewalls. La más urgente por su explotación activa, identificada como CVE-2026-19868, es un fallo de autenticación en el servicio SSL-VPN que permite a un atacante con credenciales válidas para un método de autenticación alternativo saltarse los controles de SAML y, con ellos, la autenticación multifactor (MFA) que SAML impone.

El fabricante publicó el aviso el viernes y confirmó que investigaba un informe sobre la explotación del fallo, según BleepingComputer. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió el mismo día la vulnerabilidad a su catálogo de fallos explotados conocidos (KEV).

Qué permite el fallo

El problema afecta únicamente a los servicios SSL-VPN de SonicOS configurados para usar autenticación SAML. Un atacante que disponga de credenciales válidas para otro método de autenticación puede eludir SAML y entrar sin completar el segundo factor. La debilidad se clasifica como CWE-308, uso de autenticación de un solo factor.

NVD asigna al fallo una puntuación CVSS 3.1 de 7,5 sobre 10, con severidad alta. El vector es AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N: ataque por red, complejidad alta, sin privilegios ni interacción del usuario, con impacto alto en confidencialidad y bajo en integridad. BleepingComputer publicó una puntuación de 7,1; la diferencia no cambia la recomendación de actualizar, pero conviene usar la ficha de NVD como referencia.

Versiones afectadas y parches

La vulnerabilidad afecta a SonicOS Gen7 en versiones 7.3.3-7015 y anteriores, y a SonicOS Gen8 en versiones 8.2.2-8015 y anteriores. SonicWall ha corregido el problema en las versiones 7.3.4-7013 y 8.2.3-8015. La compañía afirma que no hay workarounds disponibles, por lo que la actualización es la única corrección.

Antes de actualizar conviene identificar qué firewalls tienen SSL-VPN expuesto a internet y qué configuración de autenticación utilizan. No todos los despliegues de SonicOS usan SAML, pero los que lo hacen y mantienen el portal VPN accesible son los que concentran el riesgo. También es útil revisar si hay cuentas locales o métodos alternativos habilitados que no deberían estarlo.

Explotación confirmada y plazo de CISA

CISA incluyó CVE-2026-19868 en KEV el 6 de noviembre de 2026 y fijó el 20 de noviembre como fecha límite para que las agencias civiles del poder ejecutivo federal apliquen las mitigaciones. La inclusión en KEV implica que hay pruebas de explotación en el mundo real, aunque SonicWall no ha detallado los ataques observados.

El investigador Ryan Harris, de The Electronic Office, descubrió y reportó la vulnerabilidad. SonicWall no ha atribuido la explotación a un grupo concreto ni ha publicado indicadores de compromiso. Para las organizaciones fuera del ámbito federal, el plazo de CISA sigue siendo una referencia útil: un fallo de autenticación en un servicio VPN expuesto es un objetivo prioritario.

Los otros seis fallos

El aviso de SonicWall corrige seis vulnerabilidades adicionales. Dos afectan a la interfaz de gestión y tienen una puntuación de 8,8; permiten a atacantes no autenticados realizar operaciones no autorizadas en determinadas condiciones. Las demás incluyen desbordamientos de búfer antes de la autenticación en los servicios SSL-VPN y TACACS+, que pueden provocar denegaciones de servicio, y un fallo de hash débil de contraseñas que afecta a los appliances virtuales.

El aviso llega después de una serie de ataques contra los appliances de acceso remoto SMA1000 de SonicWall. En octubre se detectaron intentos de explotación de CVE-2026-102255, una vulnerabilidad de severidad máxima que podía permitir a atacantes no autenticados acceder a funcionalidad interna. En septiembre, otros ataques encadenaron dos zero-days de SMA1000 para lograr ejecución remota de código, y en julio se explotaron otros dos zero-days para desplegar malware. CVE-2026-19868 afecta a SonicOS, no a SMA1000, pero el contexto refuerza la necesidad de revisar toda la superficie de acceso remoto.

Qué hacer ahora

La medida principal es actualizar a las versiones corregidas. Después conviene revisar los registros de autenticación y de acceso VPN en busca de sesiones iniciadas sin el segundo factor, cuentas que no deberían existir o accesos desde ubicaciones inesperadas. Si no es posible actualizar de inmediato, la opción más segura es reducir la exposición del portal SSL-VPN y limitar el acceso a las redes y usuarios que realmente lo necesiten, aunque SonicWall no reconozca una mitigación equivalente al parche.

También merece la pena comprobar la configuración de SAML: qué proveedor de identidad se usa, qué métodos alternativos están habilitados y si las cuentas locales siguen activas. Un fallo de este tipo no requiere una vulnerabilidad en el proveedor de identidad; aprovecha la forma en que SonicOS decide qué método de autenticación acepta. La revisión debe incluir los firewalls perimetrales y cualquier instancia de SonicOS expuesta a internet, no solo los equipos principales.