Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die SonicWall-Schwachstelle CVE-2026-19868 in SonicOS am 6. November in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Als Grund nennt sie Belege für eine aktive Ausnutzung. Die Lücke betrifft die Authentifizierung im SSL VPN und könnte es einer Person mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode ermöglichen, SAML-Kontrollen zu umgehen, einschließlich der durch SAML erzwungenen Multifaktor-Authentifizierung.
Die Warnmeldung der CISA ordnet das Problem als „Use of Single-factor Authentication Vulnerability“ ein, also als Schwachstelle durch die Verwendung einer Single-Factor-Authentifizierung. Organisationen, die SonicOS SSL VPN mit SAML-Authentifizierung nutzen, sollten die Behebung priorisieren, da die Schwachstelle die Authentifizierungsanforderungen untergraben kann, die sie von Remote-Benutzern erwarten.
Gültige Zugangsdaten können SAML-Kontrollen umgehen
Security Affairs nennt einen CVSS-Score von 7,5 und zitiert SonicWalls Advisory, das ein Versagen der Authentifizierungsdurchsetzung im SonicOS-SSLVPN-Dienst beschreibt. Ein Benutzer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode könnte sich möglicherweise anmelden, ohne die vorgesehenen SAML-Kontrollen zu durchlaufen.
Die Voraussetzung gültiger Zugangsdaten ist entscheidend. Die Ausnutzung setzt gültige Zugangsdaten für eine andere Authentifizierungsmethode voraus; die Schwachstelle ermöglicht keinen unauthentifizierten Fernzugriff. Wenn eine Organisation SAML zur Durchsetzung der MFA nutzt, kann eine erfolgreiche Ausnutzung diesen zusätzlichen Schutz möglicherweise ebenfalls umgehen und den Zugriff auf das SSL VPN erlauben.
Security Affairs zitiert außerdem das Product Security Incident Response Team von SonicWall mit der Aussage, man habe einen Hinweis auf eine mögliche Ausnutzung untersucht. Die anschließende Aufnahme in den Katalog durch CISA nennt ausdrücklich Belege für eine aktive Ausnutzung. Der CVSS-Score beschreibt den Schweregrad; der Befund der Behörde zur Ausnutzung ist der Grund, diese Lücke als sofortige Priorität für die Behebung zu behandeln.
Bundesvorgaben und Empfehlung zum Update
Die Warnmeldung der CISA verweist auf die Binding Operational Directive 26-04, die Anforderungen an das Schwachstellenmanagement für zivile Behörden der US-Bundesexekutive festlegt. Sie verlangt die zügige Behebung von KEV-gelisteten Schwachstellen mit hohem Risiko auf öffentlich erreichbaren Systemen, die nach einer Ausnutzung vollständige Kontrolle gewähren, und erlaubt, Schwachstellen mit geringerem Risiko zurückzustellen. Die Richtlinie sieht außerdem vor, vor dem Patchen zu prüfen, ob Angreifer ein System bereits kompromittiert haben.
Security Affairs nennt eine Frist zur Behebung für Bundesbehörden bis zum 20. November 2026. Diese Frist gilt für die betroffenen Behörden. Unabhängig davon empfiehlt die CISA allen Organisationen, ein risikobasiertes Schwachstellenmanagement einzusetzen und Schwachstellen aus dem KEV-Katalog vorrangig zu behandeln.
Administratoren, die SonicOS SSL VPN betreiben, sollten der von Security Affairs zitierten Empfehlung von SonicWall folgen und so schnell wie möglich auf die neueste verfügbare Version aktualisieren, um das Risiko zu mindern.
