# CISA dopisała do katalogu KEV podatność w SonicWall SonicOS SSLVPN omijającą SAML i MFA CISA dodała 6 listopada 2026 r. do katalogu aktywnie wykorzystywanych podatności lukę CVE-2026-19868 w SonicWall SonicOS SSLVPN. Pozwala ona obejść kontrole SAML, a według CISA także uwierzytelnianie wieloskładnikowe wymuszane przez SAML. - Adres: - Rodzaj: Streszczenie - Data publikacji: 06.11.2026 - Aktualizacja: 08.11.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [CISA Known Exploited Vulnerabilities](https://nvd.nist.gov/vuln/detail/CVE-2026-19868) (6 listopada 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) CISA dopisała 6 listopada 2026 r. do katalogu Known Exploited Vulnerabilities podatność CVE-2026-19868 w SonicWall SonicOS SSLVPN. Według opisu CISA użytkownik, który ma poprawne dane do innej metody uwierzytelniania, może obejść kontrole uwierzytelniania SAML. Udane wykorzystanie podatności może też obejść uwierzytelnianie wieloskładnikowe (MFA) wymuszane przez SAML. Kanadyjskie Centrum Cyberbezpieczeństwa podaje, że według SonicWall podatność jest wykorzystywana. Dotyczy ona SonicOS w wersjach wcześniejszych niż 7.3.4-7013 oraz wcześniejszych niż 8.2.2-8015. Pole o znanym użyciu w kampaniach ransomware CISA oznacza jako nieznane. Jeśli Twój podmiot używa SonicOS z SSLVPN, sprawdź wersję oprogramowania i porównaj ją z numerami podanymi wyżej. Kanadyjskie Centrum zachęca administratorów do zapoznania się z zaleceniami producenta i wdrożenia aktualizacji, gdy tylko są dostępne. Producent opisał podatność w biuletynie SNWLID-2026-0014. CISA wskazuje jako termin **20 listopada 2026 r.** i wymaga zastosowania środków zaradczych zgodnie z instrukcjami producenta. Gdy takie środki są niedostępne, CISA wskazuje zaprzestanie używania produktu. Odpowiedzialni za zasoby mają ocenić, czy dany zasób jest wystawiony do internetu. ## Aktualizacja z 8 listopada 2026 Sprostowanie do wersji podanych wyżej: według BleepingComputer i SecurityWeek podatne są SonicOS Gen7 w wersji 7.3.3-7015 i wcześniejszych oraz Gen8 w wersji 8.2.2-8015 i wcześniejszych. Napisałem, że dotyczy to wersji wcześniejszych niż 8.2.2-8015, a według tych źródeł sama 8.2.2-8015 jest jeszcze podatna. Poprawki są w wersjach 7.3.4-7013 oraz **8.2.3-8015**. Producent podaje, że podatność dotyczy usługi SSLVPN tylko wtedy, gdy włączono dla niej logowanie przez SAML. Według BleepingComputer i SecurityWeek obejść nie ma, więc jedynym środkiem jest aktualizacja. SonicWall napisał, że zbadał zgłoszenie wskazujące na możliwe wykorzystanie podatności. SecurityWeek zaznacza, że ani producent, ani CISA nie ujawnili szczegółów podejrzewanych ataków i że nie wiadomo, czy podatność wykorzystano jako zero-day. Jeśli używasz SAML w SSLVPN, SecurityOnline radzi dodatkowo sprawdzić logi pod kątem logowań, które pominęły kontrolę MFA. W tym samym biuletynie producent naprawił jeszcze sześć podatności. Dwie, ocenione na 8,8 w skali CVSS, dotyczą interfejsu zarządzania i pozwalają zdalnemu atakującemu bez logowania wykonać nieuprawnione operacje w określonych warunkach. Pozostałe to przepełnienia bufora przed uwierzytelnieniem w SSLVPN i kliencie TACACS+, które mogą wywołać odmowę usługi, oraz słabe haszowanie haseł w urządzeniach wirtualnych. Według SecurityWeek biuletyn nie oznacza żadnej z nich jako wykorzystywanej. ## Aktualizacja z 8 listopada 2026, godz. 19:25 Ostorlab podaje oceny dotkliwości, których wcześniej nie przytoczyłem: według SonicWall CVE-2026-19868 ma w CVSS v3.1 wynik 7,1 (wysoka), a według CISA ADP w rekordzie CVE 7,5. Wektory różnią się wymaganymi uprawnieniami: producent zakłada ważne konto, CISA ADP nie. Ostorlab zaznacza, że atakujący nadal potrzebuje ważnych danych do konta, które może się logować inną metodą niż SAML, więc nie jest to wejście bez uwierzytelnienia. Wykorzystywana podatność nie ma też najwyższej oceny w biuletynie, bo dwie podatności interfejsu zarządzania mają 8,8. Producent nie podaje obejścia, ale Ostorlab opisuje kroki zmniejszające ekspozycję do czasu aktualizacji. To jego rekomendacje, nie zalecenia SonicWall: wyłączyć lub usunąć konta SSLVPN, które mogą się uwierzytelnić inną metodą niż SAML, ograniczyć SSLVPN do adresów źródłowych, które kontrolujesz, oraz przejrzeć logi pod kątem udanych logowań inną metodą niż SAML. Według Ostorlab takie logowanie jest tropem, a nie dowodem włamania. Te kroki **nie zastępują aktualizacji**, a wyłączenie kont odcina użytkowników od VPN, więc zostaw ścieżkę administracyjną niezależną od SSLVPN. Przy urządzeniach wirtualnych NSv Ostorlab ostrzega, że przywrócenie kopii konfiguracji na stary obraz przywraca podatność. Ostorlab zaznacza także, że ani SonicWall, ani CISA nie podały ofiary, daty ani sprawcy ataków, a publicznego kodu wykorzystującego podatność nie ma. ## Źródła - [CISA Known Exploited Vulnerabilities: SonicWall SonicOS SSLVPN: SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability (CVE-2026-19868)](https://nvd.nist.gov/vuln/detail/CVE-2026-19868) - [Canadian Centre for Cyber Security: SonicWall security advisory (AV26-1133)](https://cyber.gc.ca/en/alerts-advisories/sonicwall-security-advisory-av26-1133) - [BleepingComputer: SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks](https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-new-ssl-vpn-mfa-bypass-flaw-exploited-in-attacks/) - [SecurityWeek: SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins](https://www.securityweek.com/sonicwall-patches-exploited-sonicos-bug-that-weakens-vpn-logins/) - [SecurityOnline: Attackers Exploit SonicWall SonicOS SSLVPN Flaw CVE-2026-19868 in the Wild](https://securityonline.info/sonicwall-sonicos-sslvpn-cve-2026-19868-exploited/) - [Ostorlab: SonicWall SSLVPN SAML Bypass, Exploited in the Wild (CVE-2026-19868)](https://blog.ostorlab.co/sonicwall-sslvpn-saml-bypass-cve-2026-19868.html) ## Pojęcia w tym tekście - [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. - [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. - [Uwierzytelnianie wieloskładnikowe](https://pelnomocnikcyber.pl/slownik/uwierzytelnianie-wieloskladnikowe/): Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa. - [Ransomware](https://pelnomocnikcyber.pl/slownik/ransomware/): Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. - [Zero-day](https://pelnomocnikcyber.pl/slownik/zero-day/): Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. - [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. - [Odmowa usługi](https://pelnomocnikcyber.pl/slownik/odmowa-uslugi/): Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory. - [CVE](https://pelnomocnikcyber.pl/slownik/cve/): Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń. - [Wirtualna sieć prywatna](https://pelnomocnikcyber.pl/slownik/vpn/): Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 6 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.