VPN SSL di SonicWall: sfruttata una falla che aggira SAML e l’autenticazione a più fattori, avverte la CISA

Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.

Il 6 novembre 2026 la CISA ha aggiunto la CVE-2026-19868, una falla del servizio VPN SSL dei firewall SonicWall SonicOS, al suo catalogo delle vulnerabilità sfruttate attivamente. Un utente con credenziali valide per un altro metodo di accesso può aggirare l’autenticazione SAML e l’autenticazione a più fattori che essa impone; sono disponibili versioni corrette di SonicOS.

Cosa è successo

Il 6 novembre 2026 SonicWall ha pubblicato il bollettino di sicurezza SNWLID-2026-0014, che corregge diverse falle di SonicOS, il sistema dei suoi firewall Gen7 e Gen8. Lo stesso giorno l’agenzia statunitense CISA ha inserito una di queste, la CVE-2026-19868, nel suo catalogo delle vulnerabilità sfruttate, dando alle agenzie federali tempo fino al 20 novembre per correggerla. Nel suo avviso del 9 novembre, il CERT-FR francese precisa che SonicWall segnala uno sfruttamento attivo.

Come funziona la falla

Secondo la scheda CVE redatta da SonicWall, il servizio VPN SSL non applica correttamente il metodo di autenticazione scelto. Chi possiede credenziali valide per un metodo alternativo, per esempio un account locale, può collegarsi senza passare da SAML, e quindi senza l’autenticazione a più fattori che SAML doveva garantire. La CISA le assegna un punteggio di 7,5 su 10. In pratica basta una password rubata o riutilizzata altrove per aprire una sessione VPN che l’azienda credeva protetta da MFA.

Sono interessate le versioni SonicOS 7.3.3-7015 e precedenti, e 8.2.2-8015 e precedenti. Il CERT-FR considera vulnerabili le versioni anteriori a 7.3.4-7013 e 8.2.3-8015.

Cosa fare subito

1. Aggiornate SonicOS alla 7.3.4-7013 (Gen7) o alla 8.2.3-8015 (Gen8) o successive, seguendo il bollettino SNWLID-2026-0014.
2. Censite i metodi di accesso accettati dalla VPN SSL: eliminate gli account locali o LDAP che non hanno motivo di collegarsi se SAML è il vostro standard.
3. Cambiate le password di tutti gli account autorizzati sulla VPN, iniziando da quelli di amministrazione e di servizio.
4. Esaminate i log della VPN da ottobre: sessioni aperte senza passaggio SAML, indirizzi IP insoliti, accessi in orari strani.
5. Se il portale VPN non deve essere aperto a tutta Internet, limitatelo per paese o indirizzo di origine.

Il nostro parere

L’autenticazione a più fattori protegge una VPN solo se tutte le vie di accesso passano da lì. Un vecchio account locale tenuto di riserva basta a vanificare l’intero sistema: censite i metodi di accesso dei vostri apparati esposti con la stessa cura con cui li aggiornate.

Fonti

• CERT-FR — Multiples vulnérabilités dans SonicWall SonicOS (CERTFR-2026-AVI-1483)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-19868 (SonicWall SonicOS)
• CVE Program — CVE-2026-19868 record (SonicWall)

Come scegliamo, verifichiamo e scriviamo le nostre analisi →