Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

CISA dopisała do katalogu KEV podatność w SonicWall SonicOS SSLVPN omijającą SAML i MFA

Rodzaj
Streszczenie
Data
Aktualizacja
Kategoria
Incydenty
Redakcja
Paweł Rosół
Źródło
CISA Known Exploited Vulnerabilities ()

CISA dodała 6 listopada 2026 r. do katalogu aktywnie wykorzystywanych podatności lukę CVE-2026-19868 w SonicWall SonicOS SSLVPN. Pozwala ona obejść kontrole SAML, a według CISA także uwierzytelnianie wieloskładnikowe wymuszane przez SAML.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dopisała 6 listopada 2026 r. do katalogu Known Exploited Vulnerabilities podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-19868 w SonicWall SonicOS SSLVPN. Według opisu CISA użytkownik, który ma poprawne dane do innej metody uwierzytelniania, może obejść kontrole uwierzytelniania SAML. Udane wykorzystanie podatności może też obejść uwierzytelnianie wieloskładnikoweUwierzytelnianie wieloskładnikowe Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. (MFA) wymuszane przez SAML.

Kanadyjskie Centrum Cyberbezpieczeństwa podaje, że według SonicWall podatność jest wykorzystywana. Dotyczy ona SonicOS w wersjach wcześniejszych niż 7.3.4-7013 oraz wcześniejszych niż 8.2.2-8015. Pole o znanym użyciu w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. CISA oznacza jako nieznane.

Jeśli Twój podmiot używa SonicOS z SSLVPN, sprawdź wersję oprogramowania i porównaj ją z numerami podanymi wyżej. Kanadyjskie Centrum zachęca administratorów do zapoznania się z zaleceniami producenta i wdrożenia aktualizacji, gdy tylko są dostępne. Producent opisał podatność w biuletynie SNWLID-2026-0014.

CISA wskazuje jako termin 20 listopada 2026 r. i wymaga zastosowania środków zaradczych zgodnie z instrukcjami producenta. Gdy takie środki są niedostępne, CISA wskazuje zaprzestanie używania produktu. Odpowiedzialni za zasoby mają ocenić, czy dany zasób jest wystawiony do internetu.

Aktualizacja z 8 listopada 2026

Sprostowanie do wersji podanych wyżej: według BleepingComputer i SecurityWeek podatne są SonicOS Gen7 w wersji 7.3.3-7015 i wcześniejszych oraz Gen8 w wersji 8.2.2-8015 i wcześniejszych. Napisałem, że dotyczy to wersji wcześniejszych niż 8.2.2-8015, a według tych źródeł sama 8.2.2-8015 jest jeszcze podatna. Poprawki są w wersjach 7.3.4-7013 oraz 8.2.3-8015.

Producent podaje, że podatność dotyczy usługi SSLVPN tylko wtedy, gdy włączono dla niej logowanie przez SAML. Według BleepingComputer i SecurityWeek obejść nie ma, więc jedynym środkiem jest aktualizacja. SonicWall napisał, że zbadał zgłoszenie wskazujące na możliwe wykorzystanie podatności. SecurityWeek zaznacza, że ani producent, ani CISA nie ujawnili szczegółów podejrzewanych ataków i że nie wiadomo, czy podatność wykorzystano jako zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.. Jeśli używasz SAML w SSLVPN, SecurityOnline radzi dodatkowo sprawdzić logi pod kątem logowań, które pominęły kontrolę MFA.

W tym samym biuletynie producent naprawił jeszcze sześć podatności. Dwie, ocenione na 8,8 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach., dotyczą interfejsu zarządzania i pozwalają zdalnemu atakującemu bez logowania wykonać nieuprawnione operacje w określonych warunkach. Pozostałe to przepełnienia bufora przed uwierzytelnieniem w SSLVPN i kliencie TACACS+, które mogą wywołać odmowę usługiOdmowa usługi Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory., oraz słabe haszowanie haseł w urządzeniach wirtualnych. Według SecurityWeek biuletyn nie oznacza żadnej z nich jako wykorzystywanej.

Aktualizacja z 8 listopada 2026, godz. 19:25

Ostorlab podaje oceny dotkliwości, których wcześniej nie przytoczyłem: według SonicWall CVE-2026-19868 ma w CVSS v3.1 wynik 7,1 (wysoka), a według CISA ADP w rekordzie CVECVE Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. 7,5. Wektory różnią się wymaganymi uprawnieniami: producent zakłada ważne konto, CISA ADP nie. Ostorlab zaznacza, że atakujący nadal potrzebuje ważnych danych do konta, które może się logować inną metodą niż SAML, więc nie jest to wejście bez uwierzytelnienia. Wykorzystywana podatność nie ma też najwyższej oceny w biuletynie, bo dwie podatności interfejsu zarządzania mają 8,8.

Producent nie podaje obejścia, ale Ostorlab opisuje kroki zmniejszające ekspozycję do czasu aktualizacji. To jego rekomendacje, nie zalecenia SonicWall: wyłączyć lub usunąć konta SSLVPN, które mogą się uwierzytelnić inną metodą niż SAML, ograniczyć SSLVPN do adresów źródłowych, które kontrolujesz, oraz przejrzeć logi pod kątem udanych logowań inną metodą niż SAML. Według Ostorlab takie logowanie jest tropem, a nie dowodem włamania. Te kroki nie zastępują aktualizacji, a wyłączenie kont odcina użytkowników od VPN, więc zostaw ścieżkę administracyjną niezależną od SSLVPN. Przy urządzeniach wirtualnych NSv Ostorlab ostrzega, że przywrócenie kopii konfiguracji na stary obraz przywraca podatność.

Ostorlab zaznacza także, że ani SonicWall, ani CISA nie podały ofiary, daty ani sprawcy ataków, a publicznego kodu wykorzystującego podatność nie ma.

Źródła

Pojęcia w tym tekście (9)
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Uwierzytelnianie wieloskładnikowe
Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
Ransomware
Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
Zero-day
Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
Odmowa usługi
Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory.
CVE
Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
Wirtualna sieć prywatna
Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.