CVE-2026-19868: bypass dell'MFA SAML in SonicOS SSLVPN sfruttato, come verificare e mitigare

CVE-2026-19868 è una vulnerabilità di SonicWall SonicOS SSLVPN, pubblicata il 6 novembre 2026 e già inserita nel catalogo CISA KEV delle falle sfruttate attivamente. Permette a chi possiede credenziali valide per un metodo di autenticazione alternativo di aggirare i controlli SAML e, con essi, l'autenticazione a più fattori imposta tramite SAML. Se hai un firewall SonicWall con SSL VPN esposta su internet, devi verificare subito la configurazione e applicare le indicazioni del produttore.

Cosa è successo: la vulnerabilità CVE-2026-19868 in SonicOS SSLVPN

Il titolo ufficiale è "SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability". Il problema è di logica di autenticazione, non di memoria o di iniezione di codice. Quando SAML è configurato come metodo di accesso alla SSL VPN, ci si aspetta che ogni utente passi dall'Identity Provider e completi l'MFA. La falla consente invece a un utente che ha credenziali valide per un altro metodo di autenticazione configurato sul dispositivo di entrare senza passare dai controlli SAML. In pratica l'MFA, se è imposta solo dal lato SAML, viene scavalcata.

Questo spiega perché la vulnerabilità interessa chi crede di essere protetto: l'MFA è attiva sulla carta, ma un attaccante con una password rubata o riutilizzata può comunque aprire un tunnel VPN verso la rete interna.

Chi è colpito: versioni vulnerabili di SonicOS SSLVPN

Il prodotto interessato è SonicOS, il sistema operativo dei firewall SonicWall, nella componente SSL VPN. Le versioni esatte vulnerabili e quelle corrette non sono riportate nelle fonti pubbliche usate qui: vanno verificate sull'advisory SonicWall SNWLID-2026-0014, linkato in fondo. In attesa di conferma, considera a rischio ogni firewall SonicWall che:

• ha la SSL VPN abilitata e raggiungibile da internet;
• usa SAML come metodo di autenticazione per la VPN;
• mantiene attivo almeno un altro metodo di autenticazione (ad esempio utenti locali, LDAP o RADIUS) sullo stesso servizio.

Se la SSL VPN non usa SAML, la descrizione ufficiale non indica un impatto diretto, ma vale comunque la pena leggere l'advisory per capire se il produttore amplia il perimetro.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il punteggio CVSS non è ancora stato assegnato. Il dato che conta di più, però, è un altro: CISA ha inserito CVE-2026-19868 nel catalogo KEV, quindi lo sfruttamento in attacchi reali è confermato. Le agenzie federali statunitensi hanno come scadenza di rimedio il 20 novembre 2026, in linea con la direttiva BOD 26-04 che chiede di dare priorità agli aggiornamenti in base al rischio e all'esposizione su internet di ogni asset. L'uso in campagne ransomware è al momento classificato come sconosciuto.

Dal punto di vista tecnico si tratta di un bypass di autenticazione: l'attaccante non esegue codice sul firewall, ma ottiene un accesso VPN legittimo con privilegi dell'utente di cui possiede le credenziali. Da lì può raggiungere server, condivisioni di rete e gestionali come se fosse in ufficio. Per una PMI è spesso il primo passo verso esfiltrazione di dati o cifratura dei sistemi.

Come capire se sei esposto: verifica versione, esposizione e log

Ti consiglio di procedere in tre passaggi.

1. Versione firmware

Accedi all'interfaccia di gestione del firewall e leggi la versione di SonicOS nella pagina di stato del sistema. Da CLI, se la usi, il comando di riferimento è show version. Confronta il numero con quanto riportato nell'advisory SonicWall.

2. Esposizione del servizio

• Controlla se la SSL VPN è abilitata sulla zona WAN e su quale porta risponde.
• Da una rete esterna (ad esempio una connessione mobile) prova a raggiungere l'indirizzo pubblico del firewall sulla porta della SSL VPN: se compare il portale di accesso, il servizio è esposto.
• Verifica nella configurazione degli utenti e dell'autenticazione quali metodi sono attivi oltre a SAML. Ogni metodo alternativo con credenziali valide è una porta utilizzabile.

3. Log e indicatori di compromissione

• Nei log di autenticazione della SSL VPN cerca accessi riusciti che non risultano sul tuo Identity Provider SAML: una sessione VPN senza corrispondente login sull'IdP è un segnale forte.
• Controlla accessi da indirizzi IP o paesi inusuali, in orari anomali, o da account di servizio che non dovrebbero usare la VPN.
• Guarda eventuali creazioni o modifiche di utenti locali sul firewall e cambi recenti alla configurazione dell'autenticazione.
• Esporta i log su un sistema esterno prima che vengano sovrascritti: molti firewall hanno un buffer limitato.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La versione corretta di SonicOS e la disponibilità di un firmware aggiornato vanno verificate direttamente sull'advisory SNWLID-2026-0014 del PSIRT SonicWall. L'azione richiesta da CISA è chiara: applicare le mitigazioni secondo le istruzioni del fornitore e, se mitigazioni non sono disponibili, interrompere l'uso del prodotto o del servizio esposto. Quando il produttore pubblica un firmware risolutivo, il percorso è il consueto: scaricare l'immagine dal portale SonicWall, fare un backup della configurazione, caricare il firmware dall'interfaccia di gestione e riavviare in una finestra di manutenzione. Dopo l'aggiornamento rileggi la versione per confermare che sia cambiata.

Cosa fare subito: mitigazioni e hardening

In ordine di priorità, finché non hai conferma di aver applicato il rimedio del produttore:

1. Riduci l'esposizione. Se la VPN non è indispensabile per tutti, limita l'accesso alla SSL VPN a indirizzi IP noti o disattivala temporaneamente.
2. Disattiva i metodi di autenticazione alternativi sulla SSL VPN, lasciando solo SAML, se la tua configurazione lo consente. È la mitigazione più coerente con la natura della falla, ma va confrontata con le istruzioni ufficiali SonicWall.
3. Ruota le credenziali degli account abilitati alla VPN, soprattutto utenti locali e account di servizio, e rimuovi quelli non più necessari.
4. Segmenta la rete. Gli utenti VPN non dovrebbero vedere tutta la LAN: limita con regole firewall le destinazioni raggiungibili dal tunnel.
5. Attiva l'invio dei log a un syslog esterno e imposta avvisi sugli accessi VPN.

Questa vulnerabilità ha molto in comune con altri casi recenti sui dispositivi di accesso remoto, come quello che ho descritto per CVE-2026-111357 in Ivanti Connect Secure: il perimetro è il bersaglio preferito perché un solo accesso apre tutta la rete.

Se sospetti una compromissione: incident response e analisi forense

Se trovi sessioni VPN non riconducibili a un login SAML, o movimenti anomali nella rete interna, non limitarti ad aggiornare e andare avanti. Procedi così:

• Non spegnere il firewall né i server coinvolti: perderesti la memoria volatile e parte delle tracce.
• Isola i segmenti sospetti a livello di rete, revoca le sessioni VPN attive e blocca gli account coinvolti.
• Preserva i log del firewall, dell'Identity Provider, dei domain controller e dei server raggiunti dal tunnel; esportali su un supporto separato con hash di controllo.
• Fai eseguire una copia forense dei sistemi più critici prima di qualsiasi bonifica, così da poter ricostruire cosa è stato fatto e quali dati sono usciti.
• Valuta con il titolare del trattamento la notifica al Garante entro i termini del GDPR, se ci sono dati personali coinvolti.

Lo studio si occupa di incident response e analisi forense con preventivo a prezzo fisso: l'intervento di incident response va da 1.500 a 6.000 € a seconda dell'estensione, l'audit di cybersecurity da 2.000 a 8.000 €. Per una guida generale sulle prime ore dopo un attacco puoi leggere cosa fare nelle prime 24 ore in caso di malware in azienda.

Fonti ufficiali

• SonicWall PSIRT, advisory SNWLID-2026-0014
• NVD, scheda CVE-2026-19868
• CISA, BOD 26-04 Prioritizing Security Updates Based on Risk
• CISA, guida all'implementazione della BOD 26-04

Serve aiuto con CVE-2026-19868 sul tuo firewall SonicWall?

Se non sei sicuro di come sia configurata la tua SSL VPN, o se hai trovato accessi che non ti tornano, posso verificare l'esposizione, applicare le mitigazioni e, se serve, condurre l'analisi forense. Richiedi un preventivo gratuito: rispondo entro 24 ore. Per un contatto rapido trovi WhatsApp e gli altri recapiti nella pagina contatti. Intervengo di persona a Varese, Como, Milano e nel Nord Lombardia, da remoto nel resto d'Italia.