Логика уязвимости неприятна тем, что ломает привычную связку «MFA через SAML закрывает вход». Если у атакующего есть действующие учётные данные для альтернативного метода аутентификации, он может обойти проверку SAML — и вместе с ней MFA, которая на неё опирается. Оценка CVSS 7.1, затронуты только SSL-VPN, настроенные на SAML.
SonicWall сообщила, что проверила сообщение об эксплуатации, и настоятельно рекомендовала обновиться. CISA добавила CVE-2026-19868 в каталог эксплуатируемых уязвимостей и дала федеральным агентствам срок до 20 ноября 2026 года.
Что ещё закрыли
Обновление исправляет семь уязвимостей. Помимо обхода SAML, это две дыры в интерфейсе управления с оценкой 8.8, позволяющие неаутентифицированному атакующему выполнять несанкционированные операции при определённых условиях, переполнения буфера до аутентификации в SSL-VPN и TACACS+ (отказ в обслуживании) и слабое хеширование паролей на виртуальных appliance.
Затронуты SonicOS Gen7 до 7.3.3-7015 и Gen8 до 8.2.2-8015 включительно. Исправления — в 7.3.4-7013 и 8.2.3-8015; workaround’ов нет.
Что делать
Обновиться и не растягивать это на недели: срок CISA — хороший ориентир, даже если вы не федеральное агентство. Дальше — проверить журналы SSL-VPN на входы через альтернативный метод аутентификации и на необычные сессии, особенно для учётных записей с широкими правами.
И отдельно: портал SSL-VPN не обязан быть доступен всему интернету. Ограничение по адресам или по географии не заменяет патч, но снижает вероятность, что кто-то успеет воспользоваться окном.
The flaw’s logic is unpleasant because it breaks the familiar assumption that “SAML-based MFA closes the door”. If an attacker holds valid credentials for an alternate authentication method, they can bypass the SAML check — and with it the MFA that depends on it. The CVSS score is 7.1, and only SSL-VPN services configured for SAML are affected.
SonicWall said it investigated a report of exploitation and strongly urged customers to upgrade. CISA added CVE-2026-19868 to its known-exploited catalog and gave federal agencies until 20 November 2026.
What else was fixed
The update addresses seven vulnerabilities. Besides the SAML bypass, these are two management-interface flaws rated 8.8 that let an unauthenticated attacker perform unauthorised operations under specific conditions, pre-authentication buffer overflows in SSL-VPN and TACACS+ (denial of service), and weak password hashing on virtual appliances.
SonicOS Gen7 up to 7.3.3-7015 and Gen8 up to 8.2.2-8015 are affected. Fixes are in 7.3.4-7013 and 8.2.3-8015, and there are no workarounds.
What to do
Update, and do not stretch it over weeks: CISA’s deadline is a good marker even if you are not a federal agency. Then check SSL-VPN logs for logins through the alternate authentication method and for unusual sessions, especially for accounts with broad rights.
Separately: an SSL-VPN portal does not have to be reachable from the whole internet. Address or geography filtering is no substitute for a patch, but it lowers the chance that someone uses the window.