SonicWall publicó correcciones para una falla que puede permitir eludir controles de acceso en su servicio de VPN cuando un usuario dispone de credenciales válidas para otro método de autenticación. En las instalaciones afectadas, también podría saltarse la verificación multifactor que depende de SAML. La agencia estadounidense CISA incluyó el problema en su catálogo de vulnerabilidades explotadas.
El fallo, identificado como CVE-2026-19868, afecta al servicio SSL VPN de SonicOS, el sistema operativo de los firewalls de la compañía. SonicWall informó el 6 de noviembre que investigó un reporte de posible explotación y pidió a sus clientes actualizar lo antes posible.
La falla depende de cómo se autentica la VPN
SAML es un protocolo que permite delegar el inicio de sesión en un proveedor de identidad. En una configuración que lo utiliza, ese proveedor puede exigir una segunda comprobación antes de permitir el acceso a la red privada.
Según el aviso de SonicWall, el problema afecta a la interfaz o servicio SSL VPN solo cuando SAML está habilitado para esos inicios de sesión. Una persona con credenciales válidas para un método alternativo podría eludir los controles SAML y, si la autenticación multifactor se aplica mediante ese mecanismo, también podría evitar esa comprobación adicional.
La condición de las credenciales importa: el aviso no describe una entrada sin credenciales ni significa que todas las VPN o todas las formas de autenticación multifactor sean vulnerables por esta falla. SonicWall asignó a CVE-2026-19868 una puntuación de gravedad de 7.1 sobre 10 y acreditó su reporte a Ryan Harris, de The Electronic Office.
Qué versiones identifica SonicWall
El fabricante incluye equipos físicos y virtuales de sus generaciones 7 y 8 en el aviso. Para cada familia señala estas versiones afectadas y corregidas:
- Gen 7: SonicOS 7.3.3-7015 y anteriores están afectados; el aviso identifica 7.3.4-7013 y posteriores como corregidos.
- Gen 8: SonicOS 8.2.2-8015 y anteriores están afectados; el aviso identifica 8.2.3-8015 y posteriores como corregidos.
La compañía no enumera una solución alternativa en su aviso. Además de comprobar el número de versión, conviene revisar la compatibilidad de la compilación con el modelo concreto antes de instalarla.
Al comparar la documentación de Gen 7, el sitio de ciberseguridad SXZ destacó un detalle. Las notas de la versión 7.3.4-7013 incluyen el identificador interno de la falla, GEN7-58695, en una lista de referencias sin describirlo. Las de 7.3.4-7015 sí lo identifican expresamente como el problema de autenticación del aviso. La falta de descripción en las primeras notas no demuestra que 7.3.4-7013 carezca de la corrección: SonicWall la incluye entre las versiones corregidas.
Las notas de 7.3.4-7013 también indican que la versión para la familia virtual NSv no estaba disponible en ese lanzamiento de octubre. Las de 7.3.4-7015 sí enumeran equipos NSv entre las plataformas compatibles. La distinción ayuda a comprobar qué compilación corresponde a una instalación virtual.
SonicWall advierte en las notas de 7.3.4-7015 que no admite volver desde SonicOS 7.3.4 a una versión anterior. Esa limitación forma parte de la planificación de la actualización, junto con las necesidades de cada instalación.
Qué se sabe de la explotación
La inclusión de CVE-2026-19868 en el catálogo de CISA significa que la agencia la considera una vulnerabilidad explotada. El registro fue agregado el 6 de noviembre y fija el 20 de noviembre de 2026 como fecha límite de remediación para las agencias civiles federales de Estados Unidos. No es un plazo legal general para todos los clientes de SonicWall.
La formulación del fabricante es más cauta: dice que investigó un reporte que indicaba una posible explotación. Ni su aviso ni el registro de CISA detallan los ataques o cuándo comenzaron, de modo que esos documentos no permiten establecer si la falla se aprovechó antes de que hubiera un parche disponible.
El mismo aviso de SonicWall reúne otras seis vulnerabilidades. Dos afectan a la interfaz de administración y fueron clasificadas por el fabricante con una gravedad de 8.8 sobre 10. Que la falla de SAML solo afecte a ciertas configuraciones no descarta que un equipo necesite las actualizaciones por alguno de los otros problemas.
La corrección cierra la vía descrita por el fabricante, pero instalarla no determina por sí solo si un sistema fue comprometido antes. El catálogo de CISA tampoco identifica a las organizaciones afectadas ni establece el alcance de los incidentes.
