SonicWall: falla nella VPN con SAML, già sfruttata

Cosa è successo

SonicOS è il sistema dei firewall SonicWall. La SSL-VPN è il collegamento remoto con cui i dipendenti entrano nella rete aziendale. SAML è il sistema con cui il login passa da un servizio esterno (spesso con la verifica in due passaggi, la MFA).

Venerdì 6 novembre 2026 SonicWall ha pubblicato l'avviso SNWLID-2026-0014 con sette correzioni. La principale è la CVE-2026-19868 (gravità 7,1 su 10): chi ha credenziali valide per un altro metodo di accesso può aggirare i controlli SAML, forse anche la MFA imposta da SAML. Riguarda solo le SSL-VPN configurate con SAML. La falla è stata trovata da Ryan Harris di The Electronic Office.

SonicWall ha esaminato una segnalazione di possibile sfruttamento e la CISA americana ha inserito la falla nel catalogo KEV, l'elenco delle falle già usate negli attacchi, il 6 novembre 2026, con scadenza al 20 novembre 2026 per le agenzie federali statunitensi (confermato direttamente sul catalogo CISA, non solo riportato da terzi).

Quali versioni e cosa installare

Le altre sei falle corrette nello stesso avviso: due nell'interfaccia di gestione (gravità 8,8, operazioni non autorizzate senza login in certe condizioni), overflow prima del login nei servizi SSL-VPN e TACACS+ (blocco del servizio, numero non specificato dalla fonte) e un hashing debole delle password sulle appliance virtuali. L'elenco di BleepingComputer, da cui viene questa lista, è introdotto con "tra le altre": potrebbe non essere completo.

Cosa non si sa ancora

Nessuna delle fonti lette (BleepingComputer, CISA, SecurityAffairs, Ostorlab) condivide dettagli sullo sfruttamento: chi attacca, come e quante vittime — quello che dice SonicWall è riportato da queste fonti, non letto sull'avviso originale. Non sono noti nemmeno i metodi di accesso alternativi che permettono il bypass, né indicatori per scoprire un abuso. Le CVE delle altre sei falle corrette nello stesso avviso non sono state trovate in nessuna delle fonti lette.

BleepingComputer ricorda attacchi precedenti ad altri apparecchi SonicWall (la serie SMA1000, tra luglio e ottobre): sono prodotti diversi da SonicOS, non lo stesso problema.

Non sappiamo quanti apparecchi siano in uso in Italia.

Da dove vengono questi dati

I fatti principali vengono da BleepingComputer (6 novembre 2026), letto per intero. La falla e le sue date sono confermate anche dal catalogo ufficiale CISA KEV (consultato direttamente) e da due fonti indipendenti da BleepingComputer, SecurityAffairs e Ostorlab. L'avviso originale di SonicWall (SNWLID-2026-0014) non è stato possibile aprirlo direttamente: la sua pagina non restituisce testo leggibile. Il suo contenuto risulta comunque confermato dalle fonti sopra, quindi la notizia non poggia più su una fonte sola.