SonicWall SSL VPN: chyba obchází dvoufaktorové ověření

Americký úřad CISA zařadil 6. listopadu 2026 chybu CVE-2026-19868 v SonicWall SonicOS na seznam zranitelností, které útočníci aktivně zneužívají (Known Exploited Vulnerabilities, KEV). Chyba umožňuje přihlásit se přes SSL VPN bez dvoufaktorového ověření, i když ho firma má zapnuté. KEV katalog CISA sleduje chyby, u kterých má agentura důkazy, že je útočníci v praxi zneužívají, ne jen teoretické riziko.

Týká se firem, které vzdálený přístup zaměstnanců řeší přes SonicWall firewall s funkcí SSL VPN a přihlášením přes SAML. Oprava existuje: podle databáze NVD jde o SonicOS 7.3.4-7015 pro řadu Gen7 a 8.2.2-8015 pro řadu Gen8. Kdo běží na starší verzi a má SSL VPN zapnutou, má otevřenou cestu, jak útočník obejde MFA.

Proč je SSL VPN zajímavý cíl

SSL VPN na firewallu je obvykle jediná brána, kterou má firma otevřenou dovnitř sítě z internetu: obchodní zástupci se přihlašují z terénu, administrátoři se připojují na servery z domova, účetní otevírá systém mimo kancelář. Je to přesně to místo, kde firma MFA nasazuje jako poslední pojistku, protože heslo samotné uniká, zapisuje se na papír nebo se opakuje napříč službami. Když se obejde zrovna tahle vrstva, obejde se tím ochrana, na kterou se spoléhá nejvíc. Útočník, který se takto dostane dovnitř, navíc nezačíná na veřejném webu, ale rovnou ve vnitřní síti, kde je další krok, třeba k souborovému serveru nebo účetnímu systému, o dost kratší.

Co přesně chyba dělá

NVD vede chybu jako CWE-308, použití jednofaktorového ověření, s hodnocením CVSS 3.1 na 7,5 bodu (vektor AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N). Útok jde spustit po síti bez nutnosti fyzického přístupu (AV:N) a bez zvláštního oprávnění (PR:N), ale vyžaduje vyšší míru souhry okolností (AC:H), a VPN samotná po útoku dál běží (A:N). Popis NVD: útočník s platnými přihlašovacími údaji pro alternativní metodu ověření může obejít SAML autentizaci, a tím i MFA, které na SAML navazuje.

Podmínka je důležitá: útočník musí mít už nějaké platné přihlašovací údaje, byť k jiné metodě ověření, než je SAML. Nejde tedy o díru, kterou otevře kdokoliv z internetu bez hesla. Je to ale přesně ta vrstva, na kterou se firmy spoléhají, když MFA zapínají jako pojistku proti uniklému nebo odhadnutému heslu.

Koho se týká a koho ne

Zranitelnost se týká zařízení na SonicOS Gen7 ve verzi starší než 7.3.4-7015, nebo Gen8 starší než 8.2.2-8015, kde je povolená SSL VPN se SAML přihlášením vedle jiné metody ověření. Firma, která SSL VPN nepoužívá, nebo která má SonicOS už na opravené verzi, zranitelnost nehrozí.

Kdo neví, jakou verzi provozuje, zjistí ji v SonicOS pod System, Firmware, nebo na přihlašovací stránce administrace. Výrobce chybu popisuje v poradenství SNWLID-2026-0014 na psirt.global.sonicwall.com.

Jak to zkontrolovat za 10 minut

Kontrola nevyžaduje zásah dodavatele ani odstávku, zabere jednomu administrátorovi řádově deset minut a dá se udělat ještě před plánovanou aktualizací:

• Přihlaste se do administrace SonicOS a pod System, Firmware zjistěte přesnou verzi firmwaru.
• V nastavení SSL VPN ověřte, jestli je zapnuté přihlášení přes SAML a jestli vedle něj zůstala povolená i jiná metoda ověření.
• V protokolu přihlášení (log) k SSL VPN zkontrolujte neobvyklé přihlášení mimo pracovní dobu nebo z neznámé lokace za poslední dva týdny.
• Pokud je verze starší než oprava a SSL VPN se SAML běží, naplánujte aktualizaci jako prioritu, ne jako běžnou údržbu.

Co udělat

CISA dala federálním úřadům v USA termín 20. listopadu 2026 na aktualizaci nebo odstavení zařízení, která se nedají opravit, a remediaci váže na svůj pokyn BOD 26-04 o prioritizaci bezpečnostních aktualizací podle rizika. Soukromou firmu to formálně nezavazuje, ale je to rozumná orientační lhůta.

Praktický postup:

• Zjistit verzi SonicOS na všech SonicWall zařízeních s SSL VPN.
• Aktualizovat na 7.3.4-7015 nebo novější (Gen7), respektive 8.2.2-8015 nebo novější (Gen8).
• Kde se aktualizace hned nedá provést, CISA doporučuje SSL VPN dočasně omezit nebo vypnout, než oprava proběhne.

Přesná čísla oprav se mezi zdroji liší. Některé zpravodajské servery uvádí 7.3.4-7013 pro Gen7 a 8.2.3-8015 pro Gen8, zatímco samotná databáze NVD má u SonicOS 7.3.4-7015 a 8.2.2-8015. Tento text se drží čísel z NVD jako primárního zdroje; rozdíl se nedá vyřešit, pokud se výrobce znovu nevyjádří, a kdo si nastavuje přesnou cílovou verzi, by si ji měl ověřit přímo v poradenství SNWLID-2026-0014.

Zdroje

• NVD: CVE-2026-19868
• CISA Known Exploited Vulnerabilities Catalog
• SonicWall PSIRT advisory SNWLID-2026-0014