Falha no SonicWall burla MFA: CISA dá prazo até 20/11 para corrigir
A agência de cibersegurança dos EUA (CISA) incluiu em 6 de novembro de 2026 a CVE-2026-19868, do sistema SonicOS da SonicWall, no catálogo de vulnerabilidades exploradas conhecidas (KEV). A falha atinge o serviço SSL-VPN e permite que um usuário com credenciais válidas de um método de autenticação alternativo contorne os controles SAML, inclusive o MFA imposto por eles, segundo o The Hacker News.
$ ls ./neste-artigo
O essencial: se o seu firewall SonicWall roda SonicOS abaixo de 7.3.4-7013 ou 8.2.2-8015 e tem SSL-VPN com SAML ligado, atualize. A CISA deu às agências federais americanas até 20 de novembro.
A SonicWall confirmou ter investigado um relato de exploração, mas não divulgou detalhes do ataque nem a autoria. O aviso oficial é o SNWLID-2026-0014.
Versão afetada × versão segura
| Linha do SonicOS | Afetada | Atualizar para |
|---|---|---|
| 7.x | Anteriores à 7.3.4-7013 | 7.3.4-7013 ou superior |
| 8.x | Anteriores à 8.2.2-8015 | 8.2.2-8015 ou superior |
As versões vêm do alerta AV26-1133 do Centro Canadense de Segurança Cibernética, que remete ao aviso da SonicWall.
Três falhas a mais no mesmo pacote
| CVE | Nota CVSS | Onde está |
|---|---|---|
| CVE-2026-19868 | 7,1 a 7,5 | SSL-VPN: contorno de SAML e MFA |
| CVE-2026-107155 | 8,8 | Interface de gerenciamento: política de domínio cruzado permissiva |
| CVE-2026-107154 | 8,8 | Interface de gerenciamento: validação de sessão |
| CVE-2026-82308 | 7,5 | SSL-VPN: estouro de buffer pré-autenticação, com risco de negação de serviço |
As duas falhas da interface de gerenciamento têm nota mais alta que a do MFA, embora só a CVE-2026-19868 esteja no catálogo de exploradas. Uma interface administrativa exposta à internet soma os dois riscos.
Checklist de quem administra o firewall
- Cheque a versão do SonicOS no painel e compare com a tabela.
- Agende a atualização e faça backup da configuração antes.
- Se não puder atualizar já, restrinja o acesso à interface de gerenciamento a redes internas.
- Revise os logs da SSL-VPN em busca de logins que passaram sem a etapa de MFA esperada.
- Force a troca de senha de contas VPN com login suspeito e revogue sessões ativas.
Como checar se a sua VPN usa o caminho vulnerável
A exposição depende de três condições juntas: SSL-VPN ativa, autenticação SAML configurada como exigência de MFA e algum outro método de login habilitado em paralelo, como usuários locais do firewall ou integração com LDAP sem SAML. Se o seu equipamento só usa SAML, o risco de contorno cai, mas as outras três falhas do pacote continuam valendo. Equipamentos sem SSL-VPN ligada não estão expostos a essa CVE, embora a interface de gerenciamento siga como ponto de atenção.
Na janela de manutenção, siga a ordem: backup da configuração, download do firmware no portal MySonicWall, instalação, reinício e teste de login na VPN com uma conta que use SAML e outra que use o método alternativo. Se a segunda passar sem pedir o fator extra depois do patch, revise as políticas de autenticação.
Por que o MFA não bastou
O MFA via SAML depende de o firewall exigir o provedor de identidade em toda autenticação. Quando existe um segundo método habilitado, como contas locais, a falha permite usar esse caminho para escapar da verificação. Desativar métodos alternativos que ninguém usa reduz a superfície mesmo depois do patch.
Para equipes pequenas, sem janela de manutenção definida, o caminho mínimo é bloquear o acesso externo à interface de administração e desligar temporariamente o método de login alternativo. Isso reduz a exposição enquanto o firmware é testado, mas não substitui a atualização, porque o estouro de buffer da SSL-VPN dispensa autenticação.
Firewalls e concentradores de VPN são alvos frequentes de grupos de ransomware, como mostrou o caso do PAN-OS CVE-2026-0257 explorado no GlobalProtect.
20 de novembro e o que falta a SonicWall dizer
O prazo da CISA obriga só agências federais americanas, mas costuma servir de referência para empresas. Ainda faltam detalhes sobre o ataque que levou à inclusão no catálogo e indicadores de comprometimento para quem quer saber se já foi alvo. Até lá, a data a cumprir é a mesma das agências: 20 de novembro.
