Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

SonicWall łata obejście MFA w SSL-VPN, luka CVE-2026-19868 jest już wykorzystywana

SonicWall wydał poprawki siedmiu luk w SonicOS. CVE-2026-19868 pozwala ominąć uwierzytelnianie SAML w SSL-VPN, także MFA, i jest już wykorzystywana w atakach.

Karta wpisu: SonicWall łata obejście MFA w SSL-VPN, luka CVE-2026-19868 jest już wykorzystywana

SonicWall wydał aktualizacje usuwające siedem luk w zaporach z systemem SonicOS, w tym CVE-2026-19868, którą napastnicy już wykorzystują. Luka ma ocenę CVSS 7.1 i pozwala osobie z ważnymi danymi logowania do innej metody uwierzytelniania obejść kontrolę SAML w SSL-VPN, łącznie z wymuszonym przez SAML uwierzytelnianiem wieloskładnikowym. Producent nie ujawnił szczegółów ataku, ale amerykańska agencja CISA dopisała lukę do katalogu KEV i dała agencjom federalnym czas na zabezpieczenie systemów do 20 listopada 2026 r.

Kogo dotyczy

Zapory SonicOS Gen7 w wersji 7.3.3-7015 i starszych oraz Gen8 w wersji 8.2.2-8015 i starszych. Obejście MFA dotyczy wyłącznie usług SSL-VPN skonfigurowanych z uwierzytelnianiem SAML. Ta sama aktualizacja usuwa dwie luki interfejsu zarządzania z oceną 8.8, przepełnienia bufora w SSL-VPN i TACACS+ prowadzące do odmowy usługi oraz słabe haszowanie haseł w urządzeniach wirtualnych.

Co zrobić

SonicWall zaleca jak najszybszą instalację najnowszego wydania SonicOS na wszystkich zaporach z tych linii.

TAB. 2

Źródła

1
BleepingComputer — SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacksbleepingcomputer.com
TAB. 3

Powiązane

3
07.11.2026PodatnościClaude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubie
07.11.2026PodatnościModel OpenAI GPT 6 Cyber potwierdził 1200 podatności LPE w jądrze Linux
06.11.2026PodatnościQNAP potwierdza włamania na serwery NAS przez luki Plex2Shell w Plex Media Server

Wszystkie wpisy →

Blog 24/7
07.11PSE utworzą CSIRT Energia, piąty sektorowy zespół reagowania na incydenty w Polscespidersweb.pl07.11120 mln zł na bezpieczną komunikację mobilną dla ponad 40 tys. podmiotów KSCcrn.pl07.11NBP: w 80,1 proc. oszustw płatniczych ofiara sama zleciła przelew lub dała danetelepolis.pl07.11Crédit Mutuel Arkéa: nieuprawnione przelewy na 118 mln euro po wejściu przez dostawcębleepingcomputer.com07.11CTM360: ponad 1000 incydentów z fałszywymi kartami podarunkowymi znanych marekbleepingcomputer.com07.11Ataki na podłączone do internetu chłodnie objęły trzy placówki krwi we Francjiwired.com07.11Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubiethehackernews.com07.11Backdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logachthehackernews.com07.11Japonia przeznacza 10 mld jenów na awaryjny pakiet cyberbezpieczeństwa po fali wyciekówsecurityweek.com07.11Otwarte modele AI niemal dorównują zamkniętym w atakach na sieci firmowewired.com