SonicOS: SSL-VPN-Lücke CVE-2026-19868 umgeht SAML-MFA, CISA meldet Angriffe
SonicWall hat am 6. November 2026 mit dem Advisory SNWLID-2026-0014 sieben Lücken in SonicOS geschlossen. CVE-2026-19868 umgeht im SSL-VPN mit SAML-Anmeldung die Mehrfaktor-Authentifizierung, die CISA führt sie als ausgenutzt. Abhilfe bringen SonicOS 7.3.4-7013 und 8.2.3-8015.
SonicWall hat am 6. November 2026 das Sicherheitsadvisory SNWLID-2026-0014 für SonicOS veröffentlicht. Es behebt sieben Lücken in den Firewalls der Generationen 7 und 8. Eine davon, CVE-2026-19868 im SSL-VPN, kann bei SAML-Anmeldung die Mehrfaktor-Authentifizierung aushebeln. SonicWall hat nach eigenen Angaben einen Bericht über mögliche Ausnutzung untersucht, die US-Behörde CISA führt die Lücke seit dem 6. November in ihrem Katalog aktiv ausgenutzter Schwachstellen.
Betroffen sind SonicOS 7.3.3-7015 und älter sowie 8.2.2-8015 und älter. Die Umgehung greift laut Hersteller nur, wenn SAML für die SSL-VPN-Anmeldung aktiv ist. Wer SSL-VPN mit SAML und MFA betreibt, sollte nicht auf das nächste Wartungsfenster warten. Für alle anderen SonicOS-Firewalls ist das Update ebenfalls nötig, weil zwei weitere Lücken die Verwaltungsoberfläche betreffen.
Was ist passiert?
Laut Advisory kann ein Nutzer, der gültige Zugangsdaten für ein alternatives Anmeldeverfahren besitzt, die SAML-Kontrollen des SSL-VPN umgehen und damit auch eine per SAML erzwungene MFA. Welche Verfahren SonicWall mit „alternativ“ meint, steht nicht im Advisory. Gemeldet hat die Lücke Ryan Harris von The Electronic Office.
Zur Ausnutzung schreibt SonicWall nur, man habe einen Bericht über eine mögliche Ausnutzung untersucht, und fordert ein schnelles Update. Details zu Angreifern oder Opfern nennt der Hersteller nicht, wie auch BleepingComputer festhält. Die CISA hat CVE-2026-19868 am 6. November in den KEV-Katalog aufgenommen und US-Bundesbehörden eine Frist bis zum 20. November gesetzt.
Die übrigen sechs Lücken: Zwei Fehler in der Verwaltungsoberfläche (CVE-2026-107154, CVE-2026-107155) erlauben unter bestimmten Bedingungen nicht angemeldeten Angreifern unerlaubte Aktionen. Ein Heap-Überlauf im SSL-VPN (CVE-2026-82308) und zwei Überläufe im TACACS+-Client (CVE-2026-77708, CVE-2026-77709) führen vor der Anmeldung zu einem Dienstausfall. Auf virtuellen Appliances kann ein schwaches Passwort-Hashing (CVE-2026-19703) einem Angreifer mit lokalem Zugriff eine Plattform-Zugangskennung verraten.
Wer ist betroffen?
Das Advisory nennt bei Generation 7 die Modelle TZ 270 bis TZ 670, NSa 2700 bis NSa 6700, NSsp 10700 bis NSsp 15700 und NSv 270, 470 und 870 mit SonicOS 7.3.3-7015 oder älter. Bei Generation 8 sind es TZ 80 bis TZ 680, NSa 2800 bis NSa 5800 und NSv XS, S, M und L mit 8.2.2-8015 oder älter. Die virtuellen Varianten laufen unter ESX, KVM, Hyper-V, AWS und Azure.
Für CVE-2026-19868 gilt die Einschränkung auf SSL-VPN mit SAML. Firewalls mit 7.3.4-7013 oder 8.2.3-8015 und neuer sind nicht betroffen. Einen Workaround gibt es laut SonicWall nicht.
Wie kritisch ist das?
SonicWall bewertet CVE-2026-19868 mit CVSS 3.1 7.1 (hohe Komplexität, niedrige Rechte nötig). Die CISA vergibt im CVE-Eintrag 7.5 und setzt dort keine vorherigen Rechte an. Gemeint ist kein Codeausführungsfehler, sondern ein Anmeldeweg ins VPN, der die zweite Sicherung überspringt. Für ein Unternehmen ist das trotzdem ernst: Wer im VPN ist, steht im internen Netz. Die beiden Lücken der Verwaltungsoberfläche haben mit 8.8 den höchsten Wert, setzen laut Vektor aber eine Nutzerinteraktion voraus.
Was sollten Admins jetzt tun?
Außer dem Update nennt SonicWall keine Schritte. Die folgenden Punkte sind eine eigene Empfehlung.
- Inventar: alle SonicWall-Firewalls der Generationen 7 und 8 samt NSv-Instanzen mit ihrer SonicOS-Version erfassen.
- Prüfen, ob die SSL-VPN-Anmeldung SAML nutzt. Diese Geräte zuerst aktualisieren.
- Update auf 7.3.4-7013 beziehungsweise 8.2.3-8015 oder neuer einspielen.
- VPN-Anmeldungen der letzten Wochen auf ungewöhnliche Konten, Quelladressen und Anmeldewege prüfen, die nicht über SAML liefen. Indikatoren nennt SonicWall nicht.
- Die Verwaltungsoberfläche nur aus vertrauenswürdigen Netzen erreichbar halten.
- Bei Verdacht Zugangsdaten der betroffenen Konten zurücksetzen und VPN-Sitzungen beenden.
Einordnung für Unternehmen
SonicWall-Geräte standen 2026 mehrfach im Visier, bisher meist die SMA1000-Zugangsgateways. Diesmal trifft es die Firewalls selbst, die in vielen kleinen Firmen auch das VPN für das Homeoffice stellen. Gerade wer MFA über SAML eingeführt hat, verlässt sich auf genau diese zweite Hürde. Das Update ist der einzige Schutz, den der Hersteller nennt.
Passende Anleitungen auf S-EDV
- Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
- SonicWall SMA1000: Angriffe auf Lücke CVE-2026-102255 drei Tage nach Patch
- SonicWall GMS: Zwei Lücken bleiben ungepatcht, Hersteller rät zum Umstieg auf NSM
