Уязвимость в службе SSLVPN операционной системы SonicOS позволяет обойти проверку SAML. Пользователь с действующими учётными данными другого метода входа проходит аутентификацию в обход SAML-контроля. Вместе с ней пропускается и многофакторная проверка, которую назначил SAML. Затронуты устройства SonicWall на платформах Gen7 и Gen8.
CISA добавила уязвимость в каталог Known Exploited Vulnerabilities 6 ноября 2026 года. В тот же день запись CVE получила статус PUBLISHED - уязвимость раскрыли публично. Даты совпадают, поэтому эксплуатация началась почти сразу после раскрытия. Место в KEV означает подтверждённую активную эксплуатацию. Это не предположение и не теоретическая угроза.
Почему обход SAML меняет картину
Организации ставят SAML перед SSLVPN, чтобы пускать людей только через единый вход и MFA. Пока проверка работает, прочие методы входа доступа не дают. Уязвимость ломает эту логику: служба принимает альтернативный метод как достаточный. Многофакторная проверка при этом пропускается, хотя формально она назначена. В результате рушится обычное допущение, что за SAML стоит второй фактор.
Условия атаки
Для попытки нужен сетевой доступ к SSLVPN и действующие учётные данные альтернативного метода входа. Участие пользователя не требуется: злоумышленник отправляет запросы сам. Если интерфейс SSLVPN не опубликован в интернет, сначала придётся попасть во внутреннюю сеть. Сложность высокая, автоматизировать подбор условий нельзя - в SSVC стоит отметка Automatable: no. Массовых сканеров с готовым эксплойтом ждать не нужно, но точечные попытки уже идут.
Оценка и последствия
CISA-ADP поставила 7,5 из 10 по CVSS 3.1 - высокий уровень. Вектор описывает атаку по сети без привилегий и без участия пользователя. При этом описание уязвимости называет условием действующие учётные данные другого метода входа. Сильнее всего страдает конфиденциальность: обход открывает путь к ресурсам, которые защищает SAML. Целостность затронута слабо, доступность не страдает.
Тип слабости CNA указывает как CWE-308, использование однофакторной аутентификации. Смысл в том, что вход состоялся по одному фактору, а второй не проверили. Для организации это значит: любой разрешённый метод входа вне SAML становится обходным путём. Проверять нужно не только настройки, но и то, какие способы аутентификации вообще разрешены на устройстве.
Патча в записи нет
Исправленную версию в записи CVE не указали. SonicWall перечислила только уязвимые сборки: SonicOS 7.3.3-7015 и более старые, а также 8.2.2-8015 и более старые. Номер исправления не опубликован, поэтому ориентир для обновления придётся брать из бюллетеней самого производителя. Обходных мер в записи тоже нет.
Пока патча нет, сократить поверхность можно одним способом. Проверить, какие методы входа, кроме SAML, разрешены на SSLVPN, и отключить всё лишнее. Заодно просмотреть журналы: успешные сессии после раскрытия уязвимости стоит разобрать отдельно. Особое внимание - входам, которые прошли без второго фактора, хотя политика его требует.
Каталог KEV обязывает федеральные агентства США устранять уязвимости из списка. Конкретный срок по этой записи в переданных данных не назвали. Для остальных организаций каталог служит сигналом приоритета. Эксплуатация идёт, исправления в записи нет, значит, изоляция SSLVPN от внешней сети остаётся основной мерой.
После установки исправления служба снова будет требовать прохождение SAML для всех методов входа, а вместе с ним и MFA. До этого момента полезно убедиться, что учётные записи, заведённые в обход SAML, не пережили миграцию на единый вход. Такие записи часто остаются как аварийный доступ и как раз они открывают обход.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-19868
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014
- https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalog
