SonicWall ha corregido CVE-2026-19868, un fallo de SonicOS que ya se explota y que permite saltarse los controles SAML, incluido el MFA, de la VPN SSL. Afecta a cortafuegos Gen7 y Gen8 con login SAML activado. Si tienes uno, actualiza hoy a SonicOS 7.3.4-7013 o 8.2.3-8015: no hay alternativa temporal.
Lo esencial
- CVE-2026-19868 tiene un CVSS de 7.1 y afecta al servicio SSL VPN de SonicOS. Solo hay exposición si el inicio de sesión basado en SAML está activado (NVD).
- Versiones afectadas: SonicOS 7.3.3-7015 y anteriores en Gen7 (TZ, NSa, NSsp y NSv) y 8.2.2-8015 y anteriores en Gen8 (TZ, NSa y NSv).
- Versiones corregidas: SonicOS 7.3.4-7013 y 8.2.3-8015. SonicWall indica que no hay workarounds (SecurityWeek).
- CISA añadió el fallo a su catálogo de vulnerabilidades explotadas (KEV) el 6 de noviembre, con fecha límite del 20 de noviembre para las agencias federales de EE. UU. (CISA).
- El aviso SNWLID-2026-0014 corrige siete vulnerabilidades en total (BleepingComputer).
¿Me afecta si tengo un SonicWall?
Depende de tres cosas. Primero, la generación: el fallo afecta a cortafuegos Gen7 y Gen8. Segundo, la versión: SonicOS 7.3.3-7015 o anterior en Gen7, 8.2.2-8015 o anterior en Gen8. Tercero, la configuración: tienes que usar la VPN SSL con login SAML, que es lo habitual cuando conectas la VPN a un proveedor de identidad como Entra ID u Okta.
Si se cumplen las tres, alguien con credenciales de otro método de autenticación puede saltarse los controles SAML, incluido el MFA que exija SAML. En la práctica, el segundo factor que creías que protegía la VPN deja de ser una barrera fiable. Y la VPN da acceso a tu red interna.
Si no usas SAML en la VPN SSL, este CVE concreto no te expone. Pero el mismo aviso trae otros seis fallos, así que la actualización te toca igual.
¿Qué se sabe de los ataques?
Poco. SonicWall dice que su equipo de producto investigó un informe de posible explotación y pide actualizar cuanto antes, pero no ha dado detalles de los ataques (SecurityWeek). CISA lo incluyó en el KEV el mismo día del aviso (CISA), lo que confirma que se explota en la práctica. El catálogo indica que se desconoce si se usa en campañas de ransomware (catálogo KEV).
Tampoco está claro si se explotó como día cero, antes de que existiera el parche. Esa duda importa: si fue así, un equipo que actualices hoy pudo recibir accesos indebidos antes. Por eso conviene revisar los registros, no solo parchear.
¿Qué más corrige el aviso?
Según BleepingComputer, además del bypass de SAML hay dos fallos de la interfaz de gestión con CVSS 8.8 aprovechables sin autenticación en ciertas condiciones, tres desbordamientos de búfer previos a la autenticación en SSL VPN y TACACS+ que provocan denegación de servicio, y un hash de contraseñas débil en appliances virtuales. La misma actualización los corrige todos.
Qué hacer hoy
- Entra en el cortafuegos y anota el modelo, la versión de SonicOS y si la VPN SSL usa login SAML.
- Actualiza a SonicOS 7.3.4-7013 (Gen7) o 8.2.3-8015 (Gen8). No hay alternativa temporal, así que no esperes a la ventana de mantenimiento del mes.
- Revisa los registros de acceso a la VPN de las últimas semanas. Busca inicios de sesión inusuales, sobre todo de cuentas con otro método de autenticación.
- Si tu proveedor de TI gestiona el equipo, pídele por escrito la versión instalada y la fecha del parche.
- Si ves actividad sospechosa, cambia las credenciales de las cuentas VPN.
Qué significa para una pyme
SonicWall es un fabricante de cortafuegos habitual en pymes, y muchas activaron MFA en la VPN y dieron el tema por cerrado. Este fallo muestra el límite de esa idea: el MFA lo hace cumplir el cortafuegos, y si el cortafuegos tiene un fallo, el segundo factor deja de proteger. El MFA sigue siendo imprescindible. Lo que no puedes es tratarlo como sustituto de parchear el equipo perimetral.
Nuestra postura: el cortafuegos es software expuesto a internet y merece la misma urgencia que un servidor. Con un fallo en KEV y sin workaround, el plazo razonable se mide en días. CISA da a las agencias federales hasta el 20 de noviembre; tu empresa no tiene motivos para ir más lenta.
Si el equipo lo gestiona un tercero, «lo tenemos controlado» no basta. Pide la versión instalada y la fecha del parche, por escrito, y guarda la respuesta. Si no tienes claro quién responde de tu perímetro, en ciberseguridad podemos ayudarte a ordenarlo.
Preguntas frecuentes
¿Si tengo MFA en la VPN estoy protegido?
No, si usas un SonicWall Gen7 o Gen8 con login SAML en una versión vulnerable. El fallo permite saltarse el MFA que exija SAML. Actualiza.
¿Me afecta si no uso SAML?
Este CVE no. Pero el aviso corrige otros seis fallos, entre ellos dos en la interfaz de gestión con CVSS 8.8, así que actualiza igualmente.
¿Se usa en ataques de ransomware?
Se desconoce. Es lo que indica el catálogo KEV de CISA.
Fuentes
- SecurityWeek – SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins
- BleepingComputer – SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks
- CISA – CISA Adds One Known Exploited Vulnerability to Catalog
- CISA – Known Exploited Vulnerabilities Catalog
- NVD – CVE-2026-19868
