CISA hat eine SonicWall-SSLVPN-Schwachstelle zur Umgehung der Authentifizierung in seinen Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit bestätigt, dass Angreifer eine Schwachstelle ausgenutzt haben, die SAML-Authentifizierungskontrollen einschließlich Multi-Faktor-Authentifizierung (MFA) umgehen kann.
Die als CVE-2026-19868 erfasste Schwachstelle betrifft SonicWalls Firewall-Software SonicOS.
CISA hat sie in den KEV-Katalog aufgenommen – und gab zivilen Bundesbehörden damit bis zum 20. November Zeit, betroffene Systeme zu beheben.
Die Schwachstelle ist besonders für Organisationen bedenklich, die zum Schutz des Fernzugriffs auf SAML-basierte MFA setzen. Ein Angreifer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode könnte diese zusätzlichen Schutzmaßnahmen umgehen.
Wie CVE-2026-19868 die SonicWall-Authentifizierung umgeht
Laut SonicWalls Sicherheitswarnung handelt es sich bei CVE-2026-19868 um eine Schwachstelle bei der Durchsetzung der Authentifizierung im SonicOS-SSLVPN-Dienst.
Eine erfolgreiche Ausnutzung könnte es Personen mit gültigen Zugangsdaten für eine andere Authentifizierungsmethode ermöglichen, SAML-Authentifizierungskontrollen und die durch SAML erzwungene MFA zu umgehen.
Die Schwachstelle bedeutet nicht, dass ein nicht authentifizierter Angreifer automatisch auf jede betroffene Firewall zugreifen kann. Der Angriff erfordert gültige Zugangsdaten für eine alternative Authentifizierungsmethode, und die SAML-Authentifizierungskonfiguration ist für das Ausmaß der Gefährdung entscheidend.
Diese Unterscheidung grenzt CVE-2026-19868 von Schwachstellen ab, bei denen Sitzungen gekapert werden oder ein nicht authentifizierter Fernzugriff möglich ist.
Die Schwachstelle unterscheidet sich außerdem von der SonicOS-SSLVPN-Schwachstelle, die im November 2025 offengelegt wurde und es nicht authentifizierten Angreifern ermöglichen konnte, betroffene Firewalls zum Absturz zu bringen.
SonicWall hat CVE-2026-19868 zusammen mit sechs weiteren Schwachstellen in der Sicherheitswarnung SNWLID-2026-0014 behoben. Das umfassendere Update enthält auch Korrekturen für Schwachstellen in Verwaltungsschnittstellen und für Denial-of-Service-Schwachstellen.
Obwohl CISA die Ausnutzung bestätigt hat, lässt sich anhand öffentlich verfügbarer Informationen nicht feststellen, wer ins Visier genommen wurde, wie die Angreifer die erforderlichen Zugangsdaten erlangten oder ob die Schwachstelle in einer umfassenderen Kampagne eingesetzt wurde.
Betroffene SonicOS-Versionen und erforderliche Updates
SonicWall nennt die folgenden betroffenen Firmware-Versionen:
- Gen-7-Firewalls: SonicOS 7.3.3-7015 und älter.
- Gen-8-Firewalls: SonicOS 8.2.2-8015 und älter.
Die entsprechenden fehlerbereinigten Versionen sind SonicOS 7.3.4-7013 oder höher für unterstützte Gen-7-Plattformen und SonicOS 8.2.3-8015 für Gen-8-Plattformen.
Administratoren sollten vor dem Upgrade das genaue Appliance-Modell überprüfen. In den ersten Versionshinweisen zu Gen 7 gibt SonicWall an, dass SonicOS 7.3.4 für virtuelle NSv-Firewalls noch nicht verfügbar war, weshalb die plattformspezifische Verfügbarkeit berücksichtigt werden muss.
Das Unternehmen hat Richtlinien für Firmware-Upgrades veröffentlicht, die betroffene Generationen, unterstützte Versionen und den Status älterer Appliances abdecken.
Gen-6-Firewalls und ältere Firewalls haben das Supportende erreicht und erhalten diese Firmware-Updates nicht. Organisationen, die solche Geräte noch betreiben, sollten die Anschaffung unterstützter Ersatzhardware prüfen.
Was Administratoren jetzt tun sollten
Sicherheitsteams sollten die folgenden Maßnahmen priorisieren:
- Betroffene Appliances identifizieren. Das SonicWall-Firewall-Inventar erfassen, die Firmware-Versionen dokumentieren und feststellen, ob SSLVPN und SAML-Authentifizierung aktiviert sind.
- Die geeignete Firmware installieren. Für jede betroffene Plattform die neueste unterstützte Sicherheitsversion einspielen, statt nur CVE-2026-19868 zu beheben.
- Authentifizierungsaktivitäten überprüfen. Ungewöhnliche SSLVPN-Anmeldungen, unerwartete Authentifizierungsmethoden, unbekannte Quelladressen und verdächtige Konfigurationsänderungen untersuchen.
- Gefährdung von Zugangsdaten bewerten. Potenziell kompromittierte Konten überprüfen und Zugangsdaten ändern, wenn die Untersuchung ein Risiko ergibt.
- Forensische Beweise sichern. Relevante Authentifizierungsprotokolle und Konfigurationsaufzeichnungen aufbewahren, bevor Änderungen vorgenommen werden, die eine Untersuchung beeinträchtigen könnten.
Die Überprüfung von Zugangsdaten ist angesichts der früheren Offenlegung von Firewall-Backups bei SonicWall besonders relevant. Dieser Vorfall veranlasste das Unternehmen im September 2025, das Zurücksetzen von Zugangsdaten zu empfehlen. Es gibt keine öffentlichen Belege für einen Zusammenhang zwischen diesem Vorfall und CVE-2026-19868.
CISA setzt Frist für die Behebung auf den 20. November
Die Einstufung in CISA KEV bestätigt, dass CVE-2026-19868 bei Angriffen in der Praxis ausgenutzt wurde und nicht nur eine theoretische Schwachstelle darstellt.
Gemäß der verbindlichen Betriebsrichtlinie 26-04 müssen die erfassten zivilen Bundesbehörden die geltenden Anforderungen an Behebung und forensische Erstbewertung bis zum 20. November erfüllen.
Private Organisationen unterliegen nicht derselben Frist des Bundes, sind beim Betrieb betroffener Konfigurationen jedoch mit derselben zugrunde liegenden Schwachstelle konfrontiert.
Das Einspielen des Updates schließt die dokumentierte Umgehung der Authentifizierung. Es lässt jedoch nicht erkennen, ob ein Angreifer zuvor auf die Umgebung zugegriffen hat.
Organisationen sollten Firmware-Updates und die Prüfung auf eine Kompromittierung daher als getrennte Aufgaben behandeln, insbesondere wenn exponierte VPN-Dienste Zugriff auf sensible interne Systeme ermöglichen.
Lesen Sie auch: die früheren SMA1000-Zero-Day-Schwachstellen von SonicWall betrafen ein anderes Produkt für den Fernzugriff und einen anderen Angriffsmechanismus; zwei ausgenutzte Schwachstellen konnten zur Ausführung von Code aus der Ferne verkettet werden.