CVE-2026-19868: omisión de SAML y MFA en SonicWall SonicOS SSLVPN
CVE-2026-19868: omisión de autenticación SAML y MFA en SonicWall SonicOS SSLVPN
CISA incorporó el CVE-2026-19868 al catálogo de Vulnerabilidades Explotadas Activamente (KEV) el 6 de noviembre de 2026. La falla afecta a SonicWall SonicOS SSLVPN, tiene una puntuación CVSS 7.5 (ALTA) y está clasificada como CWE-308 (uso de autenticación de un solo factor). Al figurar en KEV, existe evidencia de explotación activa. El uso en campañas de ransomware figura como desconocido.
Análisis Técnico
Vector de Ataque
Según CISA, un usuario con credenciales válidas de un método de autenticación alternativo puede eludir los controles de autenticación SAML del SSLVPN. Como consecuencia, también puede saltarse la autenticación multifactor (MFA) aplicada por SAML.
- El portal SSLVPN acepta un método de autenticación distinto al SAML configurado, sin exigir el segundo factor del proveedor de identidad.
- El atacante necesita credenciales válidas (por ejemplo, robadas por phishing, infostealers o reutilización), pero ya no necesita pasar la MFA.
- La causa raíz corresponde a
CWE-308: el control se degrada a un único factor.
Los detalles finos de explotación se encuentran en el aviso del fabricante (SNWLID-2026-0014).
Impacto Operacional y de Seguridad
- Acceso remoto no autorizado a la red interna a través de la VPN, anulando la protección de MFA.
- Posible movimiento lateral, robo de datos y despliegue de ransomware tras el acceso inicial (habitual en ataques contra VPN perimetrales).
- Falsa sensación de seguridad: organizaciones que dependen de SAML + MFA para el SSLVPN quedan expuestas con solo una credencial filtrada.
Productos Afectados
SonicWall SonicOS SSLVPN con autenticación SAML. Las versiones concretas y parches deben consultarse en el aviso oficial SNWLID-2026-0014; no se listan aquí versiones no confirmadas.
Recomendaciones y Mitigación
Acciones Inmediatas Recomendadas
- Aplicar las mitigaciones y parches del fabricante según SNWLID-2026-0014.
- Cumplir la directiva CISA BOD 26-04 y sus requisitos de triaje forense. Fecha límite FCEB: 20 de noviembre de 2026.
- Evaluar la exposición a Internet de cada activo SSLVPN y, si no hay mitigaciones disponibles, discontinuar el uso del producto.
- Revisar registros de autenticación del SSLVPN en busca de inicios de sesión que no pasaron por el flujo SAML/MFA esperado.
- Rotar credenciales de cuentas con acceso VPN y restringir el acceso por origen cuando sea posible.
- Realizar caza de amenazas sobre sesiones VPN sospechosas anteriores a la aplicación de la mitigación.