SonicWall corrige vulnerabilidade explorada que permite contornar autenticação multifator em VPN

A SonicWall disponibilizou atualizações de segurança para corrigir uma vulnerabilidade no SonicOS que pode permitir contornar os mecanismos de autenticação utilizados nas ligações VPN. A falha, identificada como CVE-2026-19868, apresenta uma classificação CVSS de 7,1 e afeta o serviço SSL VPN das firewalls da fabricante, podendo comprometer a proteção assegurada pela autenticação baseada em SAML.

A vulnerabilidade foi divulgada a 6 de novembro, num aviso de segurança que inclui outras seis falhas no SonicOS. Segundo a SonicWall, um atacante que disponha de credenciais válidas para um método alternativo de autenticação poderá conseguir ultrapassar os controlos SAML e, consequentemente, a autenticação multifator (MFA) aplicada através deste mecanismo. A exploração não dispensa, portanto, a posse de credenciais válidas, mas pode permitir contornar uma camada adicional de proteção.

A fabricante confirmou que a sua equipa de segurança investigou uma comunicação relativa à possível exploração da vulnerabilidade. No mesmo dia, a Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) adicionou a CVE-2026-19868 ao catálogo Known Exploited Vulnerabilities (KEV), utilizado para identificar falhas com evidências de exploração ativa.

Nem a SonicWall nem a CISA divulgaram informações sobre os ataques associados à vulnerabilidade, incluindo a identidade dos responsáveis, o número de organizações afetadas ou os métodos utilizados. Também não foi esclarecido se a falha chegou a ser explorada como zero-day, antes da disponibilização de uma correção.

Vulnerabilidade afeta firewalls Gen7 e Gen8

A CVE-2026-19868 resulta de uma falha na aplicação dos mecanismos de autenticação do serviço SSL VPN. O problema pode ocorrer em ambientes que utilizam autenticação baseada em SAML, permitindo que credenciais associadas a outro método de acesso sejam utilizadas para contornar as verificações previstas.

Este cenário é particularmente relevante para organizações que dependem de SAML para impor autenticação multifator aos utilizadores de VPN. Embora a MFA continue a constituir uma medida importante de proteção, a vulnerabilidade pode impedir que os respetivos controlos sejam aplicados corretamente em determinadas circunstâncias.

Entre os equipamentos afetados encontram-se as firewalls SonicWall Gen7 das famílias TZ, NSa, NSsp e NSv, com SonicOS 7.3.3-7015 ou versões anteriores. A falha também afeta as firewalls Gen8 das famílias TZ, NSa e NSv, quando utilizam SonicOS 8.2.2-8015 ou versões anteriores.

A SonicWall corrigiu o problema nas versões SonicOS 7.3.4-7013 e 8.2.3-8015, respetivamente. A fabricante indica que não existem medidas alternativas de mitigação que substituam a atualização e recomenda aos clientes a instalação das versões corrigidas com a maior brevidade possível.

Atualização corrige outras seis vulnerabilidades

O aviso de segurança publicado pela SonicWall inclui ainda seis vulnerabilidades adicionais, embora nenhuma delas esteja identificada pela fabricante como tendo sido explorada em ataques.

Duas destas falhas apresentam uma classificação CVSS de 8,8 e afetam a interface de gestão do SonicOS. Uma está relacionada com uma política excessivamente permissiva entre domínios, enquanto a outra resulta de um problema na validação de sessões. Em determinadas condições, ambas podem permitir que atacantes remotos executem ações não autorizadas sem necessidade de autenticação.

Outras três vulnerabilidades correspondem a problemas de buffer overflow que podem ser explorados antes da autenticação. As falhas afetam o serviço SSL VPN e o cliente de autenticação TACACS+, podendo ser utilizadas para provocar ataques de negação de serviço (DoS) ao nível da aplicação.

A última vulnerabilidade está relacionada com a utilização de um mecanismo fraco de hashing de palavras-passe em equipamentos virtuais. Segundo a SonicWall, um atacante que já disponha de acesso local com privilégios elevados poderá explorar o problema para obter uma credencial da plataforma e aceder a determinadas configurações.

Embora estas seis vulnerabilidades não estejam assinaladas como exploradas, a fabricante recomenda a atualização dos sistemas para corrigir o conjunto de falhas identificado no aviso.

CISA estabelece prazo de correção até 20 de novembro

A inclusão da CVE-2026-19868 no catálogo KEV obriga as agências civis federais norte-americanas abrangidas pela diretiva aplicável a corrigir a vulnerabilidade até 20 de novembro de 2026.

Para as restantes organizações, a presença da falha neste catálogo constitui um indicador de prioridade, sobretudo quando os equipamentos SonicWall são utilizados para disponibilizar acesso remoto a sistemas empresariais.

As vulnerabilidades em equipamentos de segurança expostos à Internet continuam a representar um risco significativo, uma vez que estes dispositivos constituem frequentemente pontos de entrada para as redes internas. No caso da CVE-2026-19868, a possibilidade de contornar mecanismos de autenticação SAML torna particularmente importante a identificação dos equipamentos afetados e a aplicação das atualizações.

A SonicWall tem sido alvo recorrente de exploração de vulnerabilidades nos seus produtos. Segundo a informação divulgada, o catálogo KEV da CISA já incluía 20 falhas de segurança associadas à fabricante, enquanto outra vulnerabilidade, a CVE-2026-102255, começou a ser explorada no mês anterior, poucos dias após a sua divulgação, sem que tivesse sido adicionada ao catálogo até à data.

Perante este cenário, as organizações devem verificar as versões de SonicOS instaladas nas suas firewalls, identificar os serviços SSL VPN que utilizam autenticação SAML e aplicar as correções disponibilizadas. A prioridade deverá recair sobre os equipamentos expostos à Internet, particularmente aqueles que asseguram o acesso remoto de colaboradores e parceiros às infraestruturas empresariais.