SonicOS SSL VPN: What to Check Due to Exploited SAML and MFA Bypass

6 ноября 2026 года SonicWall раскрыла CVE-2026-19868 в службе SSL VPN системы SonicOS. Уязвимость уже внесена в каталог известных эксплуатируемых уязвимостей CISA. Владельцам организаций с межсетевыми экранами SonicWall нужно проверить поколение устройства, полную версию прошивки и фактическую схему входа, а затем установить исправленную сборку.

Ошибка относится к SSL VPN — удалённому защищённому доступу через межсетевой экран. При определённой конфигурации пользователь с действительными учётными данными альтернативного способа входа может обойти проверку SAML и многофакторную аутентификацию, навязанную через SAML. SAML здесь — механизм единого входа, а MFA — подтверждение входа несколькими факторами.

Это не универсальный вход без пароля и не доказательство взлома каждого устройства SonicWall. Риск зависит от версии SonicOS, использования SSL VPN, SAML и доступных альтернативных способов аутентификации. Однако подтверждённая эксплуатация означает, что проверку нельзя откладывать только потому, что на основном экране входа включена MFA.

SonicWall указывает затронутые и исправленные ветки отдельно для двух поколений. Сравнивать нужно полную сборку, а не только число 7 или 8.

• Gen 7, физические и виртуальные устройства: затронуты SonicOS 7.3.3-7015 и более ранние; исправление — 7.3.4-7013 и новее.
• Gen 8, физические и виртуальные устройства: затронуты SonicOS 8.2.2-8015 и более ранние; исправление — 8.2.3-8015.
• Для Gen 6 и более старых устройств производитель указывает окончание поддержки: новых исправлений для этих поколений нет, требуется план перехода на поддерживаемую платформу.

Официальные примечания к выпуску для SonicOS 8.2.3-8015 уже опубликованы и перечисляют исправление ошибки аутентификации SSL VPN. Перед установкой администратору всё равно нужно подтвердить доступность сборки для точной модели и лицензии в официальном кабинете. Наличие файла в кабинете ещё не означает, что прошивка установлена на активный узел или на оба участника отказоустойчивой пары.

• Составить перечень физических и виртуальных SonicWall: модель, поколение, роль, полная версия SonicOS, наличие SSL VPN и SAML.
• Проверить альтернативные способы входа и локальные учётные записи, которые могут использоваться помимо SAML. Не ограничиваться галочкой MFA в основном профиле.
• Сохранить резервную копию конфигурации и план возврата согласно документации своей модели; оценить окно недоступности и состояние отказоустойчивой пары.
• Получить прошивку только из официального канала SonicWall, установить исправленную сборку и после перезапуска проверить версию на каждом фактически обслуживающем трафик узле.
• Проверить обычный и резервный вход ответственных администраторов, SSL VPN для разрешённых групп и ключевые соединения с серверами, сайтами и корпоративными системами.

Если исправленная сборка пока не доступна для конкретной модели, зафиксируйте модель и текущую версию, обратитесь в поддержку SonicWall и отдельно оцените временное ограничение внешнего доступа. Такая мера может уменьшить поверхность атаки, но не заменяет исправление прошивки.

Обновление закрывает уязвимость, но не отменяет возможные последствия более раннего доступа. До очистки или перезаписи сохраните журналы SSL VPN, аутентификации и изменений конфигурации. Проверьте неожиданные сеансы, новые или изменённые учётные записи, права, правила доступа и ключи. При признаках компрометации изолируйте расследование и меняйте секреты с учётом их зависимостей, а не только пароль одного пользователя.

Критерий завершения — на каждом используемом узле подтверждена исправленная полная версия, оба штатных способа входа проверены, а журналы до обновления сохранены и просмотрены. Одна загруженная прошивка или включённая MFA этого не доказывает.

Сведения проверены 7 ноября 2026 года, 04:52 МСК. Точная дата начала атак и их масштаб в первичных уведомлениях не названы. Американский срок устранения в каталоге CISA относится к федеральным ведомствам США и не является универсальным российским сроком.

On November 6, 2026, SonicWall disclosed CVE-2026-19868 in the SSL VPN service of the SonicOS system. The vulnerability has already been added to CISA's catalog of known exploited vulnerabilities. Organizations with SonicWall firewalls must check the device generation, full firmware version, and actual login scheme, then install the patched build.

The error relates to SSL VPN—remote secure access through a firewall. Under a specific configuration, a user with valid credentials for an alternative login method can bypass SAML checks and multi-factor authentication (MFA) enforced via SAML. Here, SAML is a single sign-on mechanism, and MFA is login confirmation using multiple factors.

This is not a universal passwordless login, nor does it prove that every SonicWall device has been compromised. The risk depends on the SonicOS version, use of SSL VPN, SAML, and available alternative authentication methods. However, confirmed exploitation means the check cannot be postponed simply because MFA is enabled on the main login screen.

SonicWall lists affected and fixed branches separately for two generations. You must compare the full build, not just the number 7 or 8.

• Gen 7, physical and virtual devices: affected by SonicOS 7.3.3-7015 and earlier; fixed by 7.3.4-7013 and later.
• Gen 8, physical and virtual devices: affected by SonicOS 8.2.2-8015 and earlier; fixed by 8.2.3-8015.
• For Gen 6 and older devices, the vendor indicates end of support: no new fixes are available for these generations, and a migration plan to a supported platform is required.

Official release notes for SonicOS 8.2.3-8015 are already published and list the fix for the SSL VPN authentication bypass vulnerability. Before installing, the administrator must still confirm the availability of the build for the specific model and license in the official portal. The presence of a file in the portal does not mean the firmware is installed on the active node or on both members of a failover pair.

• Compile a list of physical and virtual SonicWall devices: model, generation, role, full SonicOS version, presence of SSL VPN and SAML.
• Check alternative login methods and local accounts that may be used in addition to SAML. Do not rely solely on the MFA checkbox in the main profile.
• Save a configuration backup and a rollback plan according to the documentation for your specific model; assess the downtime window and the status of the failover pair.
• Obtain the firmware only from the official SonicWall channel, install the patched build, and after reboot verify the version on every node actually handling traffic.
• Test standard and backup login for responsible administrators, SSL VPN access for authorized groups, and key connections to servers, websites, and corporate systems.

If the patched build is not yet available for a specific model, record the model and current version, contact SonicWall support, and separately evaluate temporary restrictions on external access. This measure may reduce the attack surface but does not replace the firmware fix.

The update closes the vulnerability but does not negate possible consequences of earlier access. Before cleaning or overwriting, save SSL VPN, authentication, and configuration change logs. Check for unexpected sessions, new or modified accounts, permissions, access rules, and keys. If signs of compromise are found, isolate the investigation and rotate secrets considering their dependencies, not just a single user's password.

The completion criterion is that the corrected full version is confirmed on every used node, both standard login methods are verified, and logs prior to the update are saved and reviewed. A single uploaded firmware or enabled MFA does not prove this.

Information verified on November 7, 2026, at 04:52 MSK. The exact start date of the attacks and their scale are not named in primary notifications. The US remediation deadline in the CISA catalog applies to US federal agencies and is not a universal Russian deadline.