SonicWall SonicOS MFA Bypass: Patchen, Logs prüfen

Ein SonicWall SonicOS MFA Bypass steht jetzt im CISA-Katalog ausgenutzter Schwachstellen. CVE-2026-19868 erlaubt es jemandem mit gültigen Zugangsdaten für eine alternative Anmeldemethode, SAML im SSL-VPN zu umgehen und damit auch den zweiten Faktor. SonicWall hat am 6. November korrigierte Firmware veröffentlicht. Stand 9. November nennt das Advisory außerdem einen Workaround für alle, die noch nicht aktualisieren können: Wenn SAML im Einsatz ist, aktive LDAP-, RADIUS- und TACACS+-Authentifizierungsserver auf der Firewall deaktivieren oder löschen.

Was ist passiert beim SonicWall SonicOS MFA Bypass

Das Advisory von SonicWall vom 6. November behandelt sieben SonicOS-Schwachstellen. Angegriffen wird CVE-2026-19868 (CVSS 7.1; The Hacker News nennt zusätzlich 7.5). Laut SonicWall kann ein Nutzer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode die SAML-Prüfung des SSL-VPN-Dienstes umgehen, möglicherweise auch die per SAML erzwungene Multi-Faktor-Authentifizierung. Der SonicWall SonicOS MFA Bypass betrifft nur SSL-VPN-Konfigurationen, die SAML verwenden. Gemeldet hat die Lücke Ryan Harris von The Electronic Office.

SonicWall erklärt, das PSIRT habe eine Meldung über mögliche Ausnutzung untersucht. CISA hat die Schwachstelle am 6. November in den Known-Exploited-Vulnerabilities-Katalog aufgenommen, was die Ausnutzung in freier Wildbahn bestätigt, und für US-Bundesbehörden eine Frist bis zum 20. November gesetzt (laut BleepingComputer). Stand 9. November haben weder SonicWall noch CISA die Angriffe beschrieben oder einen Akteur genannt.

Betroffen sind SonicOS Gen7 bis 7.3.3-7015 und Gen8 bis 8.2.2-8015. Die Korrekturen heißen 7.3.4-7013 und 8.2.3-8015. Dasselbe Release schließt sechs weitere Lücken, darunter zwei Probleme in der Management-Oberfläche mit CVSS 8.8 (CVE-2026-107155 und CVE-2026-107154), die laut SonicWall unter bestimmten Bedingungen unautorisierte Aktionen durch einen nicht authentifizierten Angreifer ermöglichen könnten.

Warum das wichtig ist

Ein VPN ist nur so stark wie sein schwächster Anmeldeweg. Die MFA, die Sie konfiguriert und auditiert haben, lebt beim Identity Provider, aber die Firewall entscheidet, ob sie überhaupt verlangt wird. Überspringt eine zweite Anmeldemethode diesen Schritt, existiert die Kontrolle nur auf dem Papier. SonicWall sagt nicht, welche alternativen Methoden gemeint sind. Annahme: Viele Firewalls im Mittelstand haben neben SAML noch eine lokale oder RADIUS-Anmeldung aktiv, für Admins oder als Rückfallebene.

Der Angreifer braucht weiterhin gültige Zugangsdaten für diese andere Methode, ein Passwort aus einem Infostealer oder einer alten Phishing-Kampagne kann also reichen. Für NIS2-pflichtige Unternehmen ist MFA beim Fernzugriff eine Grunderwartung, und eine Lücke an der Stelle, die sie durchsetzt, müssen Sie nachweislich geprüft haben. Es ist das dritte SonicWall-Advisory in rund einem Monat: die SMA1000-Lücke mit Höchstwertung, über die wir am 14. Oktober berichtet haben, End-of-Life-Lücken in GMS ohne Patches und jetzt SonicOS. Einen ähnlichen Punkt zu Netzwerkgeräten haben wir im Beitrag zu Zyxel GS1900 gemacht.

Was Sie jetzt tun sollten

1. Erfassen Sie Ihre SonicOS-Firewalls und lesen Sie die Firmware-Version aus. Aktualisieren Sie Gen7 auf 7.3.4-7013 oder neuer und Gen8 auf 8.2.3-8015 oder neuer; dasselbe Upgrade schließt die anderen sechs Lücken. Prüfen Sie Ihr Modell im SonicWall-Advisory.
2. Klären Sie, ob SAML für SSL-VPN-Anmeldungen aktiviert ist. Falls ja, listen Sie alle weiteren Authentifizierungsmethoden auf, die für VPN-Nutzer noch aktiv sind, und schalten Sie nicht benötigte ab.
3. Gleichen Sie SSL-VPN-Anmeldungen mit dem Anmeldeprotokoll Ihres Identity Providers ab. Eine VPN-Sitzung ohne passendes Anmeldeereignis beim Identity Provider ist der Fall, den Sie untersuchen sollten. Veröffentlichte Indikatoren für diese Lücke haben wir Stand 9. November nicht gefunden; prüfen Sie das SonicWall-Advisory auf Aktualisierungen.
4. Falls eine Firewall mit betroffenem Build und SAML am SSL-VPN lief, setzen Sie die Passwörter aller Konten mit auffälliger VPN-Aktivität zurück und beenden Sie deren Sitzungen.

DIESEC Einschätzung

Wir würden den CVSS-Wert 7.1 nicht als niedrige Priorität lesen. Der Wert spiegelt die Voraussetzungen (gültige Zugangsdaten, SAML aktiv), aber CISAs Aufnahme setzt die Lücke in dieselbe Warteschlange wie die kritischen. Die nützlichere Übung ist, alle Stellen zu finden, an denen ein zweiter Anmeldeweg die MFA aushebelt, die Sie gegenüber Prüfern ausweisen.

Nicht sicher, ob Ihr VPN MFA auf jedem Anmeldeweg erzwingt? Kontaktieren Sie DIESEC für eine Prüfung Ihrer VPN- und MFA-Konfiguration.

Quellen: CISA | BleepingComputer | The Hacker News | heise
Veröffentlicht: 2026-11-10 | Kategorie: Tägliche News | ~4 Min. Lesezeit