L'Agenzia statunitense per la sicurezza informatica e le infrastrutture (CISA) ha inserito la vulnerabilità di SonicWall SonicOS CVE-2026-19868 nel catalogo delle Known Exploited Vulnerabilities (KEV) il 6 novembre, citando prove di sfruttamento attivo. La falla riguarda l'autenticazione SSL VPN e potrebbe permettere a chi possiede credenziali valide per un metodo di autenticazione alternativo di aggirare i controlli SAML, compresa l'autenticazione a più fattori imposta tramite SAML.
Il comunicato della CISA classifica il problema come una “vulnerabilità legata all'uso di un'autenticazione a fattore singolo”. Le organizzazioni che usano SonicOS SSL VPN con autenticazione SAML dovrebbero dare priorità alla correzione, perché il difetto può compromettere i requisiti di autenticazione che si aspettano dagli utenti remoti.
Le credenziali valide possono aggirare i controlli SAML
Security Affairs riporta un punteggio CVSS di 7,5 e cita l'avviso di SonicWall, che descrive un errore nell'applicazione dell'autenticazione nel servizio SonicOS SSLVPN. Un utente con credenziali valide per un metodo di autenticazione alternativo potrebbe riuscire ad autenticarsi senza passare dai controlli SAML previsti.
Il requisito delle credenziali è importante. Lo sfruttamento richiede credenziali valide per un altro metodo di autenticazione; la vulnerabilità non consente l'accesso remoto senza autenticazione. Quando un'organizzazione si affida a SAML per imporre l'MFA, uno sfruttamento riuscito potrebbe anche aggirare questa protezione aggiuntiva e consentire l'accesso alla SSL VPN.
Security Affairs riporta inoltre le parole del team di risposta agli incidenti di sicurezza dei prodotti di SonicWall, secondo cui il team ha indagato su una segnalazione che indicava un possibile sfruttamento. L'inserimento successivo nel catalogo da parte della CISA cita esplicitamente prove di sfruttamento attivo. Il punteggio CVSS descrive la gravità; il riscontro dell'agenzia sullo sfruttamento è il motivo per cui questa vulnerabilità va trattata come priorità immediata di correzione.
Requisiti federali e raccomandazione sugli aggiornamenti
Il comunicato della CISA cita la Binding Operational Directive 26-04, che stabilisce i requisiti di gestione delle vulnerabilità per le agenzie del ramo esecutivo civile federale. La direttiva impone la rapida correzione delle vulnerabilità ad alto rischio presenti nel catalogo KEV che interessano asset esposti pubblicamente e che, dopo lo sfruttamento, concedono il controllo totale, mentre consente di rinviare quelle a rischio più basso. La direttiva stabilisce inoltre che, prima di applicare la patch, si verifichi se gli attaccanti abbiano compromesso un sistema.
Security Affairs riporta una scadenza per la correzione da parte delle agenzie federali fissata al 20 novembre 2026. Tale scadenza si applica alle agenzie coperte dalla direttiva. La CISA invita inoltre tutte le organizzazioni ad adottare una gestione delle vulnerabilità basata sul rischio e a dare priorità alle vulnerabilità presenti nel catalogo KEV.
Gli amministratori che gestiscono SonicOS SSL VPN dovrebbero seguire la raccomandazione di SonicWall, citata da Security Affairs, di passare quanto prima all'ultima versione disponibile per mitigare il rischio.
