Co se stalo
SonicWall, výrobce firewallů a VPN bran oblíbených i v menších firmách, v pátek 6. listopadu 2026 zveřejnil bezpečnostní upozornění SNWLID-2026-0014. Popisuje v něm chybu CVE-2026-19868 ve službě SSL VPN systému SonicOS, který běží na jeho firewallech. Chyba umožňuje obejít přihlašování přes SAML a s ním i vícefaktorové ověření (MFA), které přes SAML vynucujete.
Podle výrobce může chybu využít někdo, kdo má platné přihlašovací údaje pro jiný, alternativní způsob ověření. Help Net Security to vysvětluje prakticky: přihlášení do VPN, které mělo projít přes vašeho poskytovatele identity (například Okta nebo Microsoft Entra ID) a jeho kontrolou MFA, projde jen s heslem.
SonicWall uvedl, že jeho bezpečnostní tým PSIRT prověřoval hlášení o možném zneužití chyby. Podrobnosti o útocích ani o útočnících nezveřejnil. Americká agentura CISA zařadila chybu 6. listopadu 2026 do katalogu zneužívaných zranitelností KEV a evropská databáze EUVD (záznam EUVD-2026-118429) ji vede jako zneužívanou od téhož dne. Chybu objevil a nahlásil Ryan Harris ze společnosti Electronic Office.
Proč je to nebezpečné
Jde o chybu typu „použití jednofaktorového ověření“ (CWE-308). Představte si budovu, kde u hlavního vchodu chtějí průkaz i PIN. Boční dveře ale za určitých okolností otevře samotný klíč. Kdo má klíč, třeba ukradené heslo, dostane se dovnitř bez druhé kontroly.
Útok vede přes internet přímo na VPN bránu. Nejde ale o přihlášení bez hesla: podle Help Net Security musí útočník nejprve mít funkční přihlašovací údaje. Ukradených hesel do VPN je ovšem dost a právě MFA přes SAML je má udělat bezcennými. Kdo se takto přihlásí, dostane se do vnitřní sítě jako běžný uživatel VPN a odtud může sahat na data a zkoušet se šířit dál.
Skóre závažnosti CVSS (stupnice 0 až 10) je 7,5, tedy vysoké. Tuto hodnotu podle CVSS 3.1 eviduje databáze NVD, přidělila ji ale jiná organizace, nikoli samotná NVD. The Hacker News uvádí dvojici hodnot 7,1 a 7,5.
Katalog CISA KEV je seznam chyb, u kterých má americká agentura důkazy o zneužívání. Civilní federální úřady v USA musí tuto chybu odstranit do 20. listopadu 2026. EPSS, statistický odhad pravděpodobnosti zneužití v příštích 30 dnech, činil 9. listopadu 2026 přibližně 0,6 %, což je víc než u zhruba poloviny chyb. Potvrzené zneužívání má ale větší váhu než tento odhad.
SSL VPN zařízení SonicWall jsou dlouhodobě oblíbeným cílem útočníků napojených na ransomware. Help Net Security připomíná, že v roce 2025 partneři ransomwarové skupiny Akira pronikli do firewallů SonicWall i přes zapnuté MFA s jednorázovými kódy. Zda tuto konkrétní chybu využívá ransomware, CISA zatím neuvádí.
Koho se to týká
Chyba se týká firewallů SonicWall generace Gen7 a Gen8, fyzických i virtuálních, s těmito verzemi firmwaru:
- SonicOS 7.3.3-7015 a starší
- SonicOS 8.2.2-8015 a starší
Zneužít ji lze podle Help Net Security jen tehdy, když máte pro přihlašování do SSL VPN zapnutý SAML, tedy když se lidé do VPN přihlašují přes externího poskytovatele identity, například Microsoft Entra ID nebo Okta. Typicky jde o firmy, kde je SonicWall hlavní branou do internetu a zaměstnanci přes SSL VPN pracují z domova nebo z terénu.
Firewally Gen6 výrobce mezi zasaženými neuvádí. Jsou však už bez podpory a SonicWall doporučuje nahradit je, stejně jako ještě starší zařízení, firewallem Gen8. Pokud SAML pro SSL VPN nepoužíváte, tato chyba se vás podle dostupných informací netýká, aktualizace ale opravuje i další chyby.
Jak zjistit, zda jste zasaženi
Verzi firmwaru zjistíte bez jakékoli změny ve správcovském webovém rozhraní SonicOS. Zobrazuje se na úvodním přehledu (Dashboard) a v sekci firmwaru, v SonicOS 7 a 8 přes Device > Settings > Firmware and Settings.
Pokud máte povolenou správu přes SSH, verzi vypíše i tento příkaz v rozhraní příkazového řádku firewallu. Pouze čte, nic nemění:
show versionPak ověřte, zda máte pro SSL VPN zapnuté přihlašování přes SAML. Podívejte se do nastavení ověřování uživatelů a SSL VPN v administraci, případně do poskytovatele identity, zda v něm máte aplikaci pro VPN SonicWall. Zasaženi jste, pokud máte Gen7 nebo Gen8 s verzí stejnou nebo starší, než jsou uvedené, a zároveň SAML pro SSL VPN.
Jak to opravit
SonicWall chybu opravil ve větvi 7 ve verzi 7.3.4-7013 a novějších a ve větvi 8 ve verzi 8.2.3-8015. Stejná vydání podle Help Net Security opravují dalších šest chyb, žádná z nich zatím není označena jako zneužívaná. The Hacker News mezi nimi zmiňuje dvě chyby správcovského rozhraní se skóre 8,8 a chybu v SSL VPN, která může způsobit výpadek služby.
Výrobce podle Help Net Security neuvádí žádné dočasné řešení, jedinou ochranou je aktualizace. Postupujte v tomto pořadí:
- Nejdřív aktualizujte firewally, které mají SSL VPN dostupnou z internetu a používají SAML.
- Exportujte zálohu konfigurace a naplánujte krátkou odstávku, firewall se při aktualizaci restartuje.
- Stáhněte opravený firmware z portálu MySonicWall a nahrajte ho přes správcovské rozhraní.
- Po restartu ověřte verzi postupem z předchozí sekce.
- Pak aktualizujte i ostatní firewally Gen7 a Gen8, i ty bez SAML, kvůli dalším opraveným chybám.
Pokud nemůžete aktualizovat hned, jako obecné opatření zvažte dočasné omezení přístupu přes SSL VPN jen na nezbytné uživatele a důsledné sledování přihlášení. Majitelé firewallů Gen6 a starších by podle doporučení SonicWall měli plánovat přechod na Gen8.
Co když už jste mohli být napadeni
Podle Help Net Security SonicWall ani CISA zatím nezveřejnily indikátory kompromitace (IoC) a žádná bezpečnostní firma ještě nevydala analýzu útoků. Organizacím se SAML pro SSL VPN proto doporučuje:
- Projděte nedávná úspěšná přihlášení do SSL VPN a porovnejte je s logy poskytovatele identity. Podezřelé je každé přihlášení do VPN, ke kterému chybí odpovídající přihlášení a kontrola MFA v Entra ID, Okta či jiném systému.
- Účtům, které se takto přihlásily, změňte hesla a další přihlašovací údaje a zjistěte, k čemu se během těchto relací přistupovalo.
Jako obecnou kontrolu doporučujeme projít i neznámé uživatelské účty na firewallu, nečekané změny konfigurace a přihlášení z neobvyklých zemí či v neobvyklou dobu. Pokud najdete přihlášení bez záznamu u poskytovatele identity nebo logy nesahají dost daleko do minulosti, přizvěte odborníka na řešení incidentů. U útoků přes VPN bývá dalším krokem šíření po síti a ransomware.