VPN SSL da SonicWall: falha que contorna SAML e a autenticação multifator está sendo explorada, alerta a CISA

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

A CISA adicionou em 6 de novembro de 2026 a CVE-2026-19868, uma falha do serviço VPN SSL dos firewalls SonicWall SonicOS, ao seu catálogo de vulnerabilidades exploradas ativamente. Um usuário com credenciais válidas para outro método de login pode contornar a autenticação SAML e a autenticação multifator que ela impõe; versões corrigidas do SonicOS já estão disponíveis.

O que aconteceu

A SonicWall publicou em 6 de novembro de 2026 o boletim de segurança SNWLID-2026-0014, que corrige várias falhas do SonicOS, o sistema dos seus firewalls Gen7 e Gen8. No mesmo dia, a agência americana CISA incluiu uma delas, a CVE-2026-19868, no seu catálogo de vulnerabilidades exploradas e deu às agências federais até 20 de novembro para corrigi-la. Em seu aviso de 9 de novembro, o CERT-FR francês informa que a SonicWall relata exploração ativa.

Como a falha funciona

Segundo o registro CVE redigido pela SonicWall, o serviço VPN SSL não aplica corretamente o método de autenticação escolhido. Quem tem credenciais válidas para um método alternativo, por exemplo uma conta local, consegue se conectar sem passar pelo SAML e, portanto, sem a autenticação multifator que o SAML deveria garantir. A CISA atribui a ela nota 7,5 de 10. Na prática, uma senha roubada ou reutilizada em outro lugar basta para abrir uma sessão VPN que a empresa achava protegida por MFA.

São afetadas as versões SonicOS 7.3.3-7015 e anteriores, e 8.2.2-8015 e anteriores. O CERT-FR considera vulneráveis as versões anteriores a 7.3.4-7013 e 8.2.3-8015.

O que fazer agora

1. Atualize o SonicOS para 7.3.4-7013 (Gen7) ou 8.2.3-8015 (Gen8) ou posterior, conforme o boletim SNWLID-2026-0014.
2. Faça o inventário dos métodos de login aceitos pela VPN SSL: remova as contas locais ou LDAP que não precisam acessá-la se o SAML é o seu padrão.
3. Troque as senhas de todas as contas autorizadas na VPN, começando pelas de administração e de serviço.
4. Analise os logs da VPN desde outubro: sessões abertas sem etapa SAML, endereços IP incomuns, acessos em horários estranhos.
5. Se o portal VPN não precisa estar aberto para toda a Internet, restrinja-o por país ou endereço de origem.

Nossa opinião

A autenticação multifator só protege uma VPN se todos os caminhos de acesso passarem por ela. Uma conta local antiga mantida como reserva basta para anular todo o esquema: faça o inventário dos métodos de login dos seus equipamentos expostos com o mesmo cuidado com que os atualiza.

Fontes

• CERT-FR — Multiples vulnérabilités dans SonicWall SonicOS (CERTFR-2026-AVI-1483)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-19868 (SonicWall SonicOS)
• CVE Program — CVE-2026-19868 record (SonicWall)

Como escolhemos, verificamos e escrevemos nossas análises →