SonicWall schließt mit einem Sammel-Advisory sieben Sicherheitslücken in SonicOS, dem Betriebssystem seiner Firewalls. Die dringendste davon ist CVE-2026-19868: Über die Schwachstelle im SSL-VPN-Dienst lässt sich unter bestimmten Bedingungen die SAML-Anmeldung umgehen – und damit auch eine per SAML erzwungene Multi-Faktor-Authentifizierung (MFA). Laut SonicWall gibt es einen Bericht über eine mögliche Ausnutzung. Die US-Cybersicherheitsbehörde CISA hat die Lücke noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Updates stehen bereit, Workarounds gibt es laut Hersteller nicht.
Das Advisory SNWLID-2026-0014 („SonicWall SonicOS Affected By Multiple Vulnerabilities“) ist auf den 6. November 2026 datiert. Es betrifft Firewalls der Generationen 7 und 8, sowohl als Hardware als auch als virtuelle Appliance (NSv).
Was hinter CVE-2026-19868 steckt
SonicWall beschreibt CVE-2026-19868 als „Authentication Enforcement“-Schwachstelle im SSLVPN-Dienst. Ein Nutzer mit gültigen Zugangsdaten für eine alternative Authentifizierungsmethode kann demnach die SAML-Kontrollen umgehen. Gelingt das, kann auch eine über SAML erzwungene MFA wirkungslos werden. Die zugeordnete Schwachstellenklasse ist CWE-308, „Use of Single-factor Authentication“ – im Kern also: Wo zwei Faktoren verlangt sein sollten, reicht unter Umständen einer.
Wichtig ist die Einschränkung, die SonicWall selbst hervorhebt: Die Lücke betrifft das SSLVPN-Interface nur, wenn SAML für SSLVPN-Logins aktiviert ist. Wer SSL-VPN ohne SAML betreibt, ist von dieser konkreten Lücke nicht betroffen – von den übrigen sechs aber möglicherweise schon.
Technische Details zur Ausnutzung hat SonicWall nicht veröffentlicht, und wir verzichten hier bewusst darauf, Angriffswege zu beschreiben. Gemeldet wurde die Lücke laut Advisory von Ryan Harris (The Electronic Office).
Bewertung: 7,1 oder 7,5?
SonicWall bewertet CVE-2026-19868 mit einem CVSS-3.1-Score von 7,1 (hoch). Der Vektor setzt eine hohe Angriffskomplexität und niedrige Rechte voraus – also bereits vorhandene Zugangsdaten. In der National Vulnerability Database (NVD) steht zusätzlich eine Bewertung von CISA-ADP mit 7,5, die keine Rechte voraussetzt. Die NVD-Analyse lief zum Zeitpunkt unserer Prüfung noch („Undergoing Analysis“). Die SSVC-Einschätzung von CISA lautet: Ausnutzung „active“, automatisierbar „no“, technische Auswirkung „partial“.
CISA-KEV: Frist bis 20. November
Die CISA hat CVE-2026-19868 am 6. November in den Known Exploited Vulnerabilities Catalog aufgenommen. Für US-Bundesbehörden gilt damit eine Frist bis zum 20. November 2026, Abhilfe nach Herstellerangaben zu schaffen – auf Grundlage der Richtlinie BOD 26-04. Ob die Lücke in Ransomware-Kampagnen genutzt wird, ist laut KEV-Eintrag „Unknown“.
Für Unternehmen außerhalb der US-Bundesverwaltung ist die Frist nicht verbindlich. Der KEV-Eintrag ist aber ein klares Signal: Die Lücke gilt nicht mehr als theoretisch.
Die sechs weiteren Lücken im Advisory
Neben CVE-2026-19868 behebt das Update sechs weitere Schwachstellen. Für sie meldet SonicWall keine Ausnutzung:
- CVE-2026-107155 (CVSS 8,8): Zu freizügige Cross-Domain-Policy im Management-Interface. Unter bestimmten Bedingungen könnte ein nicht authentifizierter Angreifer aus der Ferne unautorisierte Aktionen ausführen; der Vektor setzt eine Nutzerinteraktion voraus.
- CVE-2026-107154 (CVSS 8,8): Schwäche bei der Sitzungsvalidierung im Management-Interface, eingeordnet als „Reliance on IP Address for Authentication“ (CWE-291). Gleiche Folgen und Bedingungen wie oben.
- CVE-2026-82308 (CVSS 7,5): Heap-Pufferüberlauf vor der Anmeldung im SSL-VPN-Dienst, der zu einem Denial of Service führen kann.
- CVE-2026-77708 und CVE-2026-77709 (je CVSS 5,9): Stack- bzw. Heap-Pufferüberlauf vor der Anmeldung im TACACS+-Authentifizierungsclient, ebenfalls mit möglichem Denial of Service.
- CVE-2026-19703 (CVSS 5,2): Schwaches Passwort-Hashing auf virtuellen Appliances. Ein Angreifer mit bereits vorhandenem lokalem Zugriff könnte ein Plattform-Credential offenlegen, das Zugriff auf einen begrenzten Teil der Einstellungen gibt.
Die beiden Management-Lücken mit 8,8 tragen den höchsten Score im Advisory. Die Gesamtbewertung des Advisorys liegt entsprechend bei 8,8. Gemeldet wurden die meisten Lücken laut SonicWall von Pentest-Tools.com, CVE-2026-19703 von der italienischen Cybersicherheitsagentur ACN.
Betroffene Versionen und Fix
Betroffen sind laut SonicWall:
- Gen7 (TZ 270 bis TZ 670, NSa 2700 bis NSa 6700, NSsp 10700 bis NSsp 15700 sowie NSv 270/470/870 auf ESX, KVM, Hyper-V, AWS und Azure): SonicOS 7.3.3-7015 und älter.
- Gen8 (TZ 80 bis TZ 680, NSa 2800 bis NSa 5800 sowie NSv XS/S/M/L): SonicOS 8.2.2-8015 und älter.
Behoben sind die Lücken in SonicOS 7.3.4-7013 (Gen7) und SonicOS 8.2.3-8015 (Gen8) sowie jeweils neueren Versionen. Einen Workaround nennt das Advisory ausdrücklich nicht („None“).
Was Admins jetzt tun sollten
Die wichtigste Maßnahme ist eindeutig: auf die gefixten SonicOS-Versionen aktualisieren, bei SAML-gestütztem SSL-VPN mit höchster Priorität. Darüber hinaus sind einige allgemeine Schritte sinnvoll, die nicht aus dem Advisory stammen, sondern gängiger Praxis bei VPN-Lücken entsprechen:
- Bestand prüfen: Welche Firewalls laufen mit welcher SonicOS-Version, und wo ist SAML für SSL-VPN aktiv?
- Authentifizierungsmethoden prüfen: Welche Login-Wege neben SAML für das SSL-VPN überhaupt zugelassen sind, sollte ohnehin dokumentiert und auf das Nötige beschränkt sein.
- Anmeldungen auswerten: VPN-Logins der vergangenen Wochen auf ungewöhnliche Muster durchsehen, etwa Anmeldungen ohne erwarteten MFA-Schritt oder von unbekannten Standorten.
- Management-Interface abschotten: Die Verwaltungsoberfläche sollte nicht aus dem Internet erreichbar sein, sondern nur aus vertrauenswürdigen Netzen.
Was noch offen ist
Vieles bleibt vorerst unklar. SonicWall spricht von einem Bericht über eine „mögliche Ausnutzung“, nennt aber weder Umfang noch betroffene Kunden oder Branchen. Indikatoren für eine Kompromittierung (IoCs) enthält das Advisory nicht. Auch der KEV-Eintrag der CISA verweist lediglich auf die Herstellerangaben. Wie viele Geräte mit aktivem SAML-Login für SSL-VPN tatsächlich im Netz erreichbar sind, ist öffentlich nicht bekannt.
Für Betreiber heißt das: Nicht auf weitere Details warten. Wer SAML für das SSL-VPN nutzt, sollte das Update einspielen und anschließend prüfen, ob es im Zeitraum vor dem Patch auffällige Anmeldungen gab. Zeigen sich Hinweise auf unberechtigte Zugriffe, ist es sinnvoll, die Zugangsdaten der betroffenen Konten zurückzusetzen und den Vorfall wie einen Einbruch zu behandeln.
Einordnung
VPN-Gateways und Firewalls sind seit Jahren eines der beliebtesten Ziele für Angreifer, weil sie direkt am Netzrand stehen. Zuletzt haben wir über eine aktiv ausgenutzte Root-Lücke in Ivanti Connect Secure berichtet. CVE-2026-19868 ist mit 7,1 Punkten weniger dramatisch bewertet, trifft aber genau den Mechanismus, auf den sich viele Unternehmen verlassen: MFA über einen zentralen Identitätsanbieter. Wenn dieser Schutz umgangen werden kann, sind gestohlene Passwörter plötzlich wieder genug.
Wie schon bei der WordPress-Updater-Lücke im CISA-KEV oder der SSHole-Lücke in OpenSSH 10.6p2 gilt: Sobald eine Schwachstelle im KEV steht, sollte das Update nicht bis zum nächsten Wartungsfenster warten.
