SonicWall CVE-2026-19868: bypass dell'MFA SAML su SSLVPN, già sfruttata

SonicWall ha pubblicato l'advisory SNWLID-2026-0014 il 6 novembre 2026, e dentro un pacchetto di sette CVE per SonicOS ce n'è una che conta davvero stasera: CVE-2026-19868, una falla di enforcement dell'autenticazione nel servizio SSLVPN di SonicOS. Il testo del vendor è diretto — "SonicWall PSIRT ha investigato una segnalazione che indica un potenziale sfruttamento di questa vulnerabilità" — e CISA l'ha inserita nello stesso giorno nel catalogo Known Exploited Vulnerabilities. L'effetto è la parte che dovrebbe rovinarti la serata: un utente con credenziali valide per un metodo di autenticazione alternativo può aggirare i controlli SAML sulla VPN e, con essi, l'autenticazione a più fattori (MFA) imposta via SAML che credevi proteggesse l'accesso remoto.

Notizia in evoluzione — pubblicata alle 20:56 (19:56 UTC) del 6 novembre 2026. Aggiornata man mano che vendor e CISA pubblicano.

In breve

CVE	CVE-2026-19868
Prodotto / versioni colpite	SonicOS SSLVPN · Gen7 (TZ, NSa, NSsp, NSv) 7.3.3-7015 e precedenti · Gen8 (TZ, NSa, NSv) 8.2.2-8015 e precedenti · solo con SAML abilitato per i login SSLVPN
Corretta in	Gen7 7.3.4-7013 e successive · Gen8 8.2.3-8015 e successive (SonicWall, 6 novembre 2026)
CVSS	7.1 HIGH · CVSS 3.1 · assegnato da SonicWall PSIRT · CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N · NVD non ancora valutata (stato Received)
Sfruttata attivamente	Sì · SonicWall PSIRT ha investigato una segnalazione di potenziale sfruttamento; inserita in CISA KEV
CISA KEV	Aggiunta il 2026-11-06; scadenza federale 2026-11-20 (BOD 26-04)
PoC pubblico	Nessuno pubblico al 2026-11-06
Advisory ufficiale	SNWLID-2026-0014

Cosa rompe davvero CVE-2026-19868

SonicOS permette di indirizzare i login SSLVPN verso SAML — la configurazione moderna, in cui l'identity provider gestisce il login e impone l'MFA. CVE-2026-19868 è il divario tra "SAML è configurato" e "SAML è l'unica via d'ingresso". Quando un account possiede anche credenziali per un metodo di autenticazione alternativo, un attaccante che le detiene può autenticarsi per quella strada e non incontrare mai la sfida SAML. La classificazione è CWE-308, uso dell'autenticazione a fattore singolo: il secondo fattore esiste sulla carta, ma una porta laterale riporta il login a un solo fattore.

Il vettore CVSS dice a chi serve. PR:L significa che l'attaccante parte con una credenziale valida — non è un attacco non autenticato da Internet. AC:H riflette le condizioni specifiche (SSLVPN con SAML abilitato, un account raggiungibile con un metodo alternativo). Ma S:C — scope cambiato — e C:H sono la parte onesta: una volta superata la VPN, l'attaccante è dentro, autenticato, con le chiavi di tutto ciò che quell'account raggiunge. SonicWall è esplicita: la falla "impatta il servizio SSLVPN di SonicOS SOLO se SAML è abilitato per i login SSLVPN". Se non hai mai attivato SAML per la VPN, questa CVE specifica stasera non ti riguarda — ma le altre sei dello stesso advisory sì, incluse due falle non autenticate dell'interfaccia di gestione di SonicOS valutate CVSS 8.8.

È uno schema, non una sorpresa

Consideralo il terzo atto. A maggio 2026, Security Affairs ha riportato che ReliaQuest ha osservato il primo sfruttamento in rete di CVE-2024-12802 — un diverso bypass dell'MFA SonicWall, in cui la gestione separata dei nomi account Active Directory UPN e SAM consentiva di configurare l'MFA in modo indipendente per ciascun metodo di login, così gli attaccanti entravano tramite il nome account alternativo. In quel caso il solo aggiornamento del firmware non bastava: il dispositivo superava il controllo di versione mentre la configurazione LDAP vulnerabile restava al suo posto, e ReliaQuest ha indicato che bastavano appena 13 tentativi di brute-force per arrivare a una credenziale valida.

"Il firewall è aggiornato." — la versione dice di sì; la logica di autenticazione dice che la porta laterale è ancora aperta.

Il motivo per cui gli attaccanti continuano a martellare questa superficie è nei numeri del lato ransomware. Arctic Wolf Labs ha tracciato una campagna Akira che distribuisce ransomware attraverso i login SSLVPN di SonicWall da fine luglio 2025, come riportato da Cyber Security News, ricondotta da SonicWall alla falla del 2024 CVE-2024-40766 — con tempi di permanenza "spesso misurati in ore, con alcune intrusioni che richiedono appena 55 minuti". Un bypass dell'MFA sulla VPN non è una debolezza astratta. È il primo quarto d'ora di un incidente ransomware.

Remediation

1. Sono interessato? In SonicOS, controlla il firmware in esecuzione (Device / Dashboard → stato del sistema). Sei interessato se usi Gen7 alla 7.3.3-7015 o precedente, o Gen8 alla 8.2.2-8015 o precedente. Poi verifica se SAML è l'autenticazione configurata per SSLVPN (impostazioni server/autenticazione SSL VPN): se SAML non è abilitato per SSLVPN, CVE-2026-19868 non ti riguarda, ma le altre CVE dell'advisory sì.

2. Patch — versioni corrette esatte. Firewall Gen7 e NSv: 7.3.4-7013 e successive. Firewall Gen8 e NSv: 8.2.3-8015 e successive. SonicWall non indica alcun workaround per CVE-2026-19868 ("is_workaround_available: False"): l'aggiornamento è la soluzione, non un'opzione.

3. Non puoi aggiornare subito? Riduci l'esposizione. Limita il portale SSLVPN a indirizzi sorgente noti o a un allow-list mentre pianifichi l'aggiornamento; meno punti da cui il login con metodo alternativo è raggiungibile, più stretta è la finestra. Non "risolvere" disabilitando SAML — toglieresti l'MFA che stai cercando di proteggere. Ridurre la raggiungibilità è una misura tampone, non un sostituto della patch.

4. Cerca segni di compromissione. SonicWall non ha ancora pubblicato indicatori specifici per CVE-2026-19868. Come punto di partenza, il lavoro correlato sul bypass MFA SonicWall SSLVPN (CVE-2024-12802) ha fatto emergere login VPN che completavano un flusso MFA all'apparenza normale ma erano marcati sess='CLI' — segno di autenticazione scriptata — insieme agli Event ID SonicOS 238 e 1080, secondo la ricerca ReliaQuest citata sopra. Mappa su ATT&CK: External Remote Services (T1133) per l'ingresso VPN e Valid Accounts: Domain Accounts (T1078.002) per la sessione autenticata. Esamina i log di autenticazione SSLVPN alla ricerca di login riusciti da ASN di hosting/VPS e di account che avviano scansioni interne pochi minuti dopo la connessione.

5. Bonifica e verifica. Se trovi una sessione SSLVPN sospetta, ruota le credenziali di ogni account raggiungibile con il metodo alternativo, non solo di quello che hai intercettato, e termina le sessioni VPN attive. Poi verifica la correzione come farebbe un attaccante: conferma il build del firmware e tenta un login con metodo alternativo contro un account con SAML imposto, per dimostrare che la porta laterale è chiusa. Una versione pulita non è una prova.

Cosa non si sa ancora

• La portata e l'attore. SonicWall cita "una segnalazione che indica potenziale sfruttamento"; CISA KEV registra l'uso ransomware come "Unknown". Nessuna attribuzione confermata.
• NVD non ha ancora valutato CVE-2026-19868 (stato Received al momento); il 7.1 è di SonicWall PSIRT.
• Al 6 novembre 2026 non esiste un proof-of-concept pubblico e non sono stati pubblicati IOC specifici per CVE-2026-19868.
• Se, come per CVE-2024-12802, alcuni dispositivi resteranno sfruttabili dopo l'aggiornamento del firmware in attesa di modifiche di configurazione.

Aggiorneremo questo articolo man mano che vendor e CISA pubblicano.

Dimostrare che il muro c'è davvero

La trappola di questa CVE è quella che gli amministratori SonicWall hanno già vissuto a maggio: un firewall che si dichiara aggiornato mentre una porta laterale di autenticazione resta aperta. Una scansione basata sulla versione non vede quel divario, perché il divario è nella logica con cui SSLVPN impone l'identità tra i metodi — non in un numero di build. L'unico modo per sapere se la tua MFA imposta via SAML è davvero un muro è provare a scavalcarla con una credenziale valida di metodo alternativo, esattamente come fa l'attaccante di questa CVE.

È il caso per cui Zero Hunt è costruito: un red team autonomo basato su AI che gira on-premise su AI privata, con un operatore umano nel loop per ogni azione che conta. Puntato sulla tua VPN in una campagna gray-box — autenticata, con le credenziali che un attaccante reale sottrarrebbe o indovinerebbe — i suoi agenti tentano direttamente il login con metodo alternativo e il bypass SAML, invece di leggere una versione del firmware e dichiararla sicura. Ogni exploit è scritto per il bersaglio e ricollaudato nell'AI Gym prima di toccare la produzione, e ogni evidenza è firmata alla scrittura (Ed25519, hash-chain) perché la prova "abbiamo confermato che il bypass è chiuso" sopravviva a un audit.

Quando la patch è applicata, la domanda diventa quale delle sette CVE dell'advisory affrontare per prima. Il Remediation Advisor di Zero Hunt ordina per sfruttabilità reale — prima CISA KEV (CVE-2026-19868 ora è in elenco, scadenza 20 novembre secondo BOD 26-04), poi ciò che la campagna ha davvero sfruttato, poi CVSS ed EPSS — e restituisce il build corretto esatto con note di rollout e rollback, poi riverifica la correzione con lo stesso test che ha dimostrato il buco. Se stai valutando la validazione continua del perimetro, la nostra guida al penetration testing automatizzato e la panoramica sul red team on-premise sono il punto di partenza. Per l'altro apparato dello stesso vendor, vedi il nostro precedente articolo sulla catena SSRF-to-RCE del SonicWall SMA1000.