SonicWall: exploit attivo con credenziali alternate bypassa il MFA sui firewall SSLVPN con SAML

Per i professionisti della sicurezza che lavorano in remoto, la VPN è l'infrastruttura critica che protegge l'accesso ai sistemi aziendali. Quando quella stessa VPN diventa il punto di ingresso per un attacco, il rischio si moltiplica per chi dipende dalla connettività stabile per tecnologie assistive e comunicazione digitale. SonicWall ha pubblicato il 6 novembre 2026 l'advisory SNWLID-2026-0014 per sette vulnerabilità in SonicOS. Tra queste, CVE-2026-19868 è l'unica confermata come sfruttata attivamente: un difetto nell'enforcement SAML del servizio SSLVPN che permette a un utente con credenziali valide per un metodo di autenticazione alternativo di eludere i controlli SAML e il multi-factor authentication ad esso collegato.

Cosa sappiamo: i fatti documentati

SonicWall ha pubblicato l'advisory SNWLID-2026-0014 il 6 novembre 2026 per sette vulnerabilità in SonicOS. CVE-2026-19868 è classificata come authentication enforcement vulnerability nel servizio SSLVPN. La descrizione ufficiale è precisa: "An authentication enforcement vulnerability in SonicOS SSLVPN service may allow a user with valid credentials for an alternate authentication method to bypass SAML authentication controls. Successful exploitation may also bypass SAML-enforced multi-factor authentication (MFA)".

La vulnerabilità interessa solo i firewall con SSLVPN e SAML abilitato. I modelli affetti sono i Gen7 (serie TZ, NSa, NSsp, NSv) con SonicOS fino alla build 7.3.3-7015, e i Gen8 (serie TZ, NSa, NSv) con SonicOS fino alla build 8.2.2-8015. SonicWall ha rilasciato le versioni fix 7.3.4-7013 e 8.2.3-8015. L'advisory è esplicito: non esistono workaround.

Il CVSS è 7.1 secondo SonicWall e 7.5 secondo CISA-ADP su NVD. La discrepanza nel parametro Privileges Required — PR:L nel punteggio del vendor, PR:N nel punteggio CISA-ADP — riflette interpretazioni diverse sulle credenziali iniziali richieste. La CWE assegnata è CWE-308 (Use of Single-factor Authentication).

CISA ha aggiunto CVE-2026-19868 al Known Exploited Vulnerabilities catalog il 6 novembre 2026, con deadline BOD 26-04 fissata al 20 novembre 2026. Il campo "Known to Be Used in Ransomware Campaigns" è marcato come "Unknown". SonicWall PSIRT ha investigato una segnalazione indicante "potential exploitation", secondo quanto riportato da BleepingComputer.

Cosa significa: l'analisi dei limiti

La fonte non specifica quale metodo di autenticazione alternativo sia coinvolto nel bypass. Secondo analisi di terze parti non confermata dal vendor, SonicWall non ha pubblicato quali metodi alternativi siano interessati. Non è possibile affermare che LDAP, RADIUS o credenziali locali siano i percorsi specifici: qualsiasi metodo alternativo configurato potrebbe essere un percorso di bypass, ma SonicWall non ha specificato quali.

Il record CVE è pubblicato dal 23 settembre 2026, mentre l'exploitation è divulgata solo il 6 novembre 2026. Questa discrepanza temporale di oltre sei settimane lascia aperta la questione del periodo di esposizione. Non è verificato se la vulnerabilità sia stata sfruttata come zero-day prima della patch.

"A score of 7.5 hides the real risk. SSLVPN is the front door of the network, and SAML-plus-MFA is often the only thing between a leaked password and an internal session." — Ciphers Security analysis, fonte specializzata non vendor ufficiale

Cosa non sappiamo ancora

Le fonti primarie presentano limiti significativi che il lettore deve considerare. SecurityWeek, prima notizia completa, non fornisce dettagli sull'exploitation effettiva o indicatori di compromissione. BleepingComputer, che conferma l'exploitation con riferimento a CISA KEV, non aggiunge informazioni sull'exploitation rispetto a SecurityWeek. Ciphers Security offre analisi tecnica approfondita ma è fonte specializzata non vendor ufficiale, con alcune inferenze su metodi alternativi non confermate da SonicWall.

Le incognite documentate includono: quale metodo di autenticazione alternativo specifico sia coinvolto; se la vulnerabilità sia stata sfruttata come zero-day pre-patch; dettagli su vittime, settori, geografia o attori threat; indicatori di compromissione o firme di detection specifiche; se l'exploitation sia collegata a campagne ransomware; se esista codice exploit pubblico.

Perché è importante

Per i professionisti deaf in cybersecurity, questa vulnerabilità ha un profilo di rischio specifico. Il lavoro remoto dipende da infrastrutture VPN che devono garantire connettività stabile per tecnologie assistive, servizi di interpretazione in video e piattaforme di comunicazione accessibile. Un bypass dell'autenticazione MFA su SSLVPN espone direttamente questa infrastruttura critica: l'attaccante che ottiene una sessione VPN compromette non solo i dati aziendali, ma il canale stesso su cui si fondano i flussi di lavoro distribuiti.

La finestra di patching di quattordici giorni imposta da CISA — dal 6 al 20 novembre 2026 — riflette la gravità perimetrale del rischio. Per le organizzazioni con team distribuiti e professionisti che lavorano da sedi remote, questa tempistica è particolarmente aggressiva. L'assenza di workaround significa che non esiste alternativa all'aggiornamento immediato.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dai fatti documentati:

• Applicare immediatamente SonicOS 7.3.4-7013 o 8.2.3-8015 su tutti i firewall Gen7 e Gen8 con SSLVPN e SAML abilitato, data l'assenza di workaround.
• Verificare nelle configurazioni SSLVPN se siano rimasti attivi metodi di autenticazione alternativi oltre a SAML: la fonte non specifica quali backend siano coinvolti.
• Consultare il catalogo CISA KEV per CVE-2026-19868 per monitorare eventuali aggiornamenti sulla deadline federale.
• Rivolgersi al supporto SonicWall per la verifica della configurazione SAML-specific su appliance con build precedenti alla fix.

La vulnerabilità CVE-2026-19868 dimostra come l'autenticazione a più fattori, quando implementata con percorsi alternativi non sufficientemente isolati, possa offrire una falsa sicurezza. Per chi opera in ambienti remoti dove la VPN è infrastruttura essenziale, la patch non è opzione: è requisito di continuità operativa.

Fonti

• securityweek.com
• bleepingcomputer.com
• cipherssecurity.com
• nvd.nist.gov
• cve.org
• cisa.gov
• radar.offseq.com
• cipherssecurity.com