La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) añadió la vulnerabilidad de SonicWall SonicOS CVE-2026-19868 a su catálogo de vulnerabilidades explotadas conocidas el 6 de noviembre, al citar pruebas de explotación activa. La falla afecta a la autenticación de SSL VPN y podría permitir que alguien con credenciales válidas de otro método de autenticación eluda los controles SAML, incluida la autenticación multifactor exigida mediante SAML.
La alerta de CISA identifica el problema como una «Vulnerabilidad de uso de autenticación de un solo factor». Las organizaciones que usan SonicOS SSL VPN con autenticación SAML deberían priorizar su corrección, porque la debilidad puede socavar los requisitos de autenticación que esperan que completen los usuarios remotos.
Las credenciales válidas pueden eludir los controles SAML
Security Affairs informa de una puntuación CVSS de 7,5 y cita el aviso de SonicWall que describe un fallo en la aplicación de la autenticación en el servicio SSLVPN de SonicOS. Un usuario con credenciales válidas de otro método de autenticación podría autenticarse sin pasar por los controles SAML previstos.
El requisito de las credenciales es importante. La explotación exige credenciales válidas de otro método de autenticación; la vulnerabilidad no proporciona acceso remoto sin autenticación. Cuando una organización depende de SAML para aplicar la MFA, una explotación exitosa también podría eludir esa protección adicional y permitir el acceso a la SSL VPN.
Security Affairs también cita al equipo de respuesta a incidentes de seguridad de productos de SonicWall, que afirma haber investigado un informe que indicaba una posible explotación. La posterior inclusión en el catálogo por parte de CISA cita explícitamente pruebas de explotación activa. La puntuación CVSS describe la gravedad; el hallazgo de explotación de la agencia es la razón para tratarla como una prioridad inmediata de corrección.
Requisitos federales y recomendación de actualización
La alerta de CISA cita la Directiva Operativa Vinculante 26-04 (Binding Operational Directive 26-04), que establece requisitos de gestión de vulnerabilidades para las agencias civiles del Poder Ejecutivo federal de EE. UU. Exige una corrección rápida de las vulnerabilidades de alto riesgo incluidas en el catálogo KEV que afecten a activos expuestos públicamente y que, tras su explotación, otorguen control total, mientras permite aplazar las vulnerabilidades de menor riesgo. La directiva también establece expectativas para comprobar si los atacantes han comprometido un sistema antes de aplicar el parche.
Security Affairs informa de un plazo de corrección para las agencias federales que vence el 20 de noviembre de 2026. Ese plazo federal se aplica a las agencias incluidas en la directiva. Por separado, CISA anima a todas las organizaciones a usar una gestión de vulnerabilidades basada en el riesgo y a priorizar las vulnerabilidades del catálogo KEV.
Los administradores que ejecutan SonicOS SSL VPN deberían seguir la recomendación de SonicWall, citada por Security Affairs, de actualizar a la versión disponible más reciente lo antes posible para mitigar el riesgo.
