Čo sa stalo
SonicWall, výrobca firewallov a VPN brán rozšírených aj v menších firmách, v piatok 6. novembra 2026 zverejnil bezpečnostné upozornenie SNWLID-2026-0014. Opisuje v ňom chybu CVE-2026-19868 v službe SSL VPN systému SonicOS, ktorý beží na jeho firewalloch. Chyba umožňuje obísť prihlasovanie cez SAML a s ním aj viacfaktorové overenie (MFA), ktoré cez SAML vynucujete.
Podľa výrobcu môže chybu využiť niekto, kto má platné prihlasovacie údaje pre iný, alternatívny spôsob overenia. Help Net Security to vysvetľuje prakticky: prihlásenie do VPN, ktoré malo prejsť cez vášho poskytovateľa identity (napríklad Okta alebo Microsoft Entra ID) a jeho kontrolu MFA, uspeje len s heslom.
SonicWall uviedol, že jeho bezpečnostný tím PSIRT preveroval hlásenie o možnom zneužití chyby. Podrobnosti o útokoch ani o útočníkoch nezverejnil. Americká agentúra CISA zaradila chybu 6. novembra 2026 do katalógu zneužívaných zraniteľností KEV a európska databáza EUVD (záznam EUVD-2026-118429) ju vedie ako zneužívanú od toho istého dňa. Chybu objavil a nahlásil Ryan Harris zo spoločnosti Electronic Office.
Prečo je to nebezpečné
Ide o chybu typu „použitie jednofaktorového overenia“ (CWE-308). Predstavte si budovu, kde na hlavnom vchode pýtajú preukaz aj PIN kód. Bočné dvere však za určitých okolností otvorí samotný kľúč. Kto má kľúč, napríklad ukradnuté heslo, sa dostane dnu bez druhej kontroly.
Útok ide cez internet priamo na VPN bránu. Nejde však o prihlásenie bez hesla: podľa Help Net Security musí útočník najprv mať funkčné prihlasovacie údaje. Ukradnutých hesiel do VPN je ale dosť a práve MFA cez SAML ich má urobiť bezcennými. Kto sa takto prihlási, dostane sa do vnútornej siete ako bežný používateľ VPN a odtiaľ môže siahať na dáta a skúšať sa šíriť ďalej.
Skóre závažnosti CVSS (stupnica 0 až 10) je 7,5, teda vysoké. Túto hodnotu podľa CVSS 3.1 eviduje databáza NVD, pridelila ju však iná organizácia, nie samotný NVD. The Hacker News uvádza dvojicu hodnôt 7,1 a 7,5.
Katalóg CISA KEV je zoznam chýb, pri ktorých má americká agentúra dôkazy o zneužívaní. Civilné federálne úrady v USA musia túto chybu odstrániť do 20. novembra 2026. EPSS, štatistický odhad pravdepodobnosti zneužitia v najbližších 30 dňoch, bol 9. novembra 2026 približne 0,6 %, čo je viac než pri zhruba polovici chýb. Potvrdené zneužívanie má však väčšiu váhu než tento odhad.
SSL VPN zariadenia SonicWall sú dlhodobo obľúbeným cieľom útočníkov spojených s ransomvérom. Help Net Security pripomína, že v roku 2025 partneri ransomvérovej skupiny Akira prenikli do firewallov SonicWall napriek zapnutému MFA s jednorazovými kódmi. Či túto konkrétnu chybu využíva ransomvér, CISA zatiaľ neuvádza.
Koho sa to týka
Chyba sa týka firewallov SonicWall generácie Gen7 a Gen8, fyzických aj virtuálnych, s týmito verziami firmvéru:
- SonicOS 7.3.3-7015 a staršie
- SonicOS 8.2.2-8015 a staršie
Zneužiť sa dá podľa Help Net Security len vtedy, keď máte pre prihlasovanie do SSL VPN zapnutý SAML, teda keď sa ľudia do VPN prihlasujú cez externého poskytovateľa identity, napríklad Microsoft Entra ID alebo Okta. Typicky ide o firmy, kde je SonicWall hlavnou bránou do internetu a zamestnanci cez SSL VPN pracujú z domu alebo z terénu.
Firewally Gen6 výrobca medzi zasiahnutými neuvádza. Sú však už bez podpory a SonicWall odporúča nahradiť ich, rovnako ako ešte staršie zariadenia, firewallom Gen8. Ak SAML pre SSL VPN nepoužívate, táto chyba vás podľa dostupných informácií nepostihuje, aktualizácia však opravuje aj ďalšie chyby.
Ako zistiť, či ste zasiahnutí
Verziu firmvéru zistíte bez akejkoľvek zmeny v správcovskom webovom rozhraní SonicOS. Zobrazuje sa na úvodnom prehľade (Dashboard) a v sekcii firmvéru, v SonicOS 7 a 8 cez Device > Settings > Firmware and Settings.
Ak máte povolenú správu cez SSH, verziu vypíše aj tento príkaz v rozhraní príkazového riadku firewallu. Iba číta, nič nemení:
show versionPotom overte, či máte pre SSL VPN zapnuté prihlasovanie cez SAML. Pozrite sa do nastavení overovania používateľov a SSL VPN v administrácii, prípadne do poskytovateľa identity, či v ňom máte aplikáciu pre VPN SonicWall. Zasiahnutí ste, ak máte Gen7 alebo Gen8 s verziou rovnakou alebo staršou než uvedené a zároveň SAML pre SSL VPN.
Ako to opraviť
SonicWall chybu opravil vo vetve 7 vo verzii 7.3.4-7013 a novších a vo vetve 8 vo verzii 8.2.3-8015. Tie isté vydania podľa Help Net Security opravujú ďalších šesť chýb, žiadna z nich zatiaľ nie je označená ako zneužívaná. The Hacker News medzi nimi spomína dve chyby správcovského rozhrania so skóre 8,8 a chybu v SSL VPN, ktorá môže spôsobiť výpadok služby.
Výrobca podľa Help Net Security neuvádza žiadne dočasné riešenie, jedinou ochranou je aktualizácia. Postupujte v tomto poradí:
- Najprv aktualizujte firewally, ktoré majú SSL VPN dostupnú z internetu a používajú SAML.
- Exportujte zálohu konfigurácie a naplánujte krátku odstávku, firewall sa pri aktualizácii reštartuje.
- Stiahnite opravený firmvér z portálu MySonicWall a nahrajte ho cez správcovské rozhranie.
- Po reštarte overte verziu postupom zo sekcie vyššie.
- Potom aktualizujte aj ostatné firewally Gen7 a Gen8, aj tie bez SAML, kvôli ďalším opraveným chybám.
Ak nemôžete aktualizovať hneď, ako všeobecné opatrenie zvážte dočasné obmedzenie prístupu cez SSL VPN len na nevyhnutných používateľov a dôsledné sledovanie prihlásení. Majitelia firewallov Gen6 a starších by mali podľa odporúčania SonicWall plánovať prechod na Gen8.
Čo ak už ste mohli byť napadnutí
Podľa Help Net Security SonicWall ani CISA zatiaľ nezverejnili indikátory napadnutia (IoC) a žiadna bezpečnostná firma ešte nevydala analýzu útokov. Organizáciám so SAML pre SSL VPN preto odporúča:
- Prejdite nedávne úspešné prihlásenia do SSL VPN a porovnajte ich s logmi poskytovateľa identity. Podozrivé je každé prihlásenie do VPN, ku ktorému chýba zodpovedajúce prihlásenie a kontrola MFA v Entra ID, Okta či inom systéme.
- Účtom, ktoré sa takto prihlásili, zmeňte heslá a ďalšie prihlasovacie údaje a zistite, k čomu sa počas týchto relácií pristupovalo.
Ako všeobecnú kontrolu odporúčame pozrieť aj neznáme používateľské účty na firewalle, nečakané zmeny konfigurácie a prihlásenia z nezvyčajných krajín či v nezvyčajný čas. Ak nájdete prihlásenie bez záznamu u poskytovateľa identity alebo logy nesiahajú dosť ďaleko do minulosti, prizvite odborníka na riešenie incidentov. Pri útokoch cez VPN býva ďalším krokom šírenie po sieti a ransomvér.