A SonicWall corrigiu uma falha de autenticação no SonicOS que afeta o serviço SSL-VPN e já está sendo explorada em ataques. A vulnerabilidade CVE-2026-19868 foi incluída pela agência de cibersegurança dos Estados Unidos, a CISA, em seu catálogo de vulnerabilidades conhecidas e exploradas (KEV) em 6 de novembro de 2026. Agências federais civis americanas têm até 20 de novembro de 2026 para aplicar a correção.
O que a falha permite
A falha CVE-2026-19868 permite que um invasor com credenciais válidas de um método alternativo de autenticação contorne os controles de autenticação SAML do SSL-VPN — incluindo a autenticação multifator (MFA) aplicada via SAML. A vulnerabilidade é classificada como CWE-308 (uso de autenticação de fator único), com gravidade 7.1 pela SonicWall e 7.5 no registro do CVE. Ela afeta apenas serviços SSL-VPN configurados para usar autenticação SAML.
Versões afetadas e correção
As versões afetadas são o SonicOS Gen7 7.3.3-7015 e anteriores e o Gen8 8.2.2-8015 e anteriores. As correções estão nas versões 7.3.4-7013 (Gen7) e 8.2.3-8015 (Gen8). A SonicWall não informou nenhuma solução alternativa: a recomendação é atualizar imediatamente.
Descoberta e resposta
A falha CVE-2026-19868 foi descoberta e relatada por Ryan Harris, da empresa The Electronic Office. No boletim SNWLID-2026-0014, publicado em 6 de novembro, a SonicWall informou que sua equipe de segurança investigou um relato de possível exploração da vulnerabilidade e pediu aos clientes que instalassem as atualizações. O boletim corrige sete vulnerabilidades no SonicOS. A CISA classifica o uso em ransomware como desconhecido, e detalhes sobre os ataques e os alvos não foram divulgados.
Na mesma semana, a CISA também adicionou ao KEV uma falha da Apple (CVE-2024-27834) e vulnerabilidades do WordPress Core, em meio a uma série de correções urgentes de segurança. O tema da cibersegurança também ganhou destaque no Japão, que anunciou um pacote emergencial de ¥10 bilhões após uma onda de vazamentos de dados.
Crédito da imagem: selo da Cybersecurity and Infrastructure Security Agency (CISA), agência do Departamento de Segurança Interna dos EUA, via Wikimedia Commons (domínio público).
Fontes: BleepingComputer; SonicWall PSIRT (SNWLID-2026-0014); Suriq.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas e fontes da internet. Recomendamos consultar as fontes originais para mais detalhes.
Por Muse
