SonicWall, hacker aggirano l’MFA delle VPN: CISA conferma gli attacchi, GMS resta senza patch

🛡️ Executive Summary

• SonicWall corregge una vulnerabilità SSL-VPN già sfruttata. CVE-2026-19868 permette, in determinate condizioni, di aggirare l’autenticazione SAML e l’MFA utilizzando credenziali valide per un metodo alternativo.
• CISA inserisce la falla nel catalogo KEV. Gli enti federali statunitensi interessati devono rispettare la scadenza del 20 novembre 2026. SonicWall distribuisce firmware correttivi per i firewall Gen7 e Gen8.
• Global Management System presenta altre due vulnerabilità senza possibilità di patch. GMS 9.5.2 e precedenti sono fuori supporto: SonicWall raccomanda la migrazione a Network Security Manager.

SonicWall affronta una nuova emergenza di sicurezza che coinvolge firewall, accessi VPN e piattaforme di gestione centralizzata. Il 6 novembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA) inserisce nel catalogo delle vulnerabilità sfruttate attivamente CVE-2026-19868, una falla di SonicOS SSL-VPN capace di aggirare i controlli di autenticazione SAML e, in determinate configurazioni, anche l’autenticazione multifattore (MFA). SonicWall conferma di aver investigato una segnalazione di possibile sfruttamento e distribuisce aggiornamenti per i firewall delle generazioni 7 e 8. Contemporaneamente, il produttore segnala due ulteriori vulnerabilità nel Global Management System (GMS), software ormai fuori supporto per il quale non verranno pubblicate correzioni. Il quadro riguarda quindi due rischi distinti: una vulnerabilità già sfruttata per la quale esiste una patch e altre due falle che richiedono la sostituzione della piattaforma vulnerabile.

CVE-2026-19868 permette di aggirare l’autenticazione MFA delle SSL-VPN SonicWall

La vulnerabilità CVE-2026-19868, classificata da SonicWall con punteggio CVSS 7,1, riguarda il sistema di autenticazione del servizio SSL-VPN integrato in SonicOS. Il difetto interessa le configurazioni che utilizzano SAML, protocollo comunemente adottato dalle aziende per delegare l’autenticazione a un identity provider e applicare controlli centralizzati, compresa la verifica multifattore. Secondo l’advisory, un aggressore che dispone di credenziali valide per un metodo di autenticazione alternativo può sfruttare una debolezza nei controlli per superare la procedura SAML. Quando l’MFA viene imposto attraverso quel percorso, anche la protezione aggiuntiva può risultare aggirata. La distinzione è importante: non si tratta di un accesso indiscriminato senza credenziali, perché lo scenario descritto richiede la disponibilità di credenziali valide per un altro metodo di autenticazione.

Il problema viene scoperto e segnalato da Ryan Harris di The Electronic Office. SonicWall riferisce che il proprio team di sicurezza ha esaminato un caso di possibile sfruttamento, senza divulgare informazioni sull’identità degli attaccanti, sulle organizzazioni coinvolte o sulla catena tecnica completa. Il 6 novembre, tuttavia, CISA inserisce CVE-2026-19868 nel Known Exploited Vulnerabilities Catalog, classificandola quindi fra le vulnerabilità per le quali esistono evidenze di sfruttamento reale. L’inserimento modifica la priorità operativa della correzione: non si tratta più soltanto di prevenire una possibilità teorica, ma di chiudere un vettore già utilizzato contro sistemi esposti. Per le agenzie federali civili statunitensi soggette alla direttiva BOD 26-04, la scadenza indicata per la remediation è il 20 novembre 2026. La stessa CISA invita anche le organizzazioni private ad adottare un sistema di priorità basato sul rischio effettivo.

Leggi anche: Fog ransomware e Akira: attacco ai sistemi VPN SonicWall

SonicOS corregge sette vulnerabilità nei firewall Gen7 e Gen8

La falla SSL-VPN è una delle sette vulnerabilità affrontate dall’aggiornamento SonicOS pubblicato da SonicWall. Le versioni interessate comprendono SonicOS Gen7 7.3.3-7015 e precedenti e Gen8 8.2.2-8015 e precedenti. Il produttore indica come versioni correttive 7.3.4-7013 o successive per Gen7 e 8.2.3-8015 per Gen8. L’advisory ufficiale comprende anche due problemi nell’interfaccia di gestione, entrambi valutati con punteggio CVSS 8,8, che in specifiche condizioni possono consentire operazioni non autorizzate senza autenticazione. Altre tre vulnerabilità riguardano buffer overflow prima dell’autenticazione nei servizi SSL-VPN e TACACS+, con possibile interruzione dei servizi, mentre l’ultima interessa un meccanismo debole di hashing delle password utilizzato nelle appliance virtuali. SonicWall non indica soluzioni alternative equivalenti all’aggiornamento per il gruppo di vulnerabilità corretto nelle nuove release. La priorità riguarda pertanto l’identificazione dei firewall interessati e la distribuzione del firmware appropriato, verificando il modello e la generazione hardware. La protezione della VPN non può essere considerata sufficiente soltanto perché è attivo l’MFA: quando il controllo multifattore dipende da una catena SAML aggirabile, la barriera aggiuntiva perde la propria efficacia nello scenario descritto. Per gli amministratori è quindi necessario verificare anche quali metodi di autenticazione siano effettivamente abilitati, se esistano percorsi alternativi e quali account possano utilizzarli. Le versioni correttive e il perimetro dei dispositivi sono descritti nell’advisory SonicWall SNWLID-2026-0014.

Global Management System 9.5.2 presenta due falle che SonicWall non correggerà

Il secondo fronte riguarda SonicWall Global Management System, piattaforma utilizzata per l’amministrazione centralizzata dei dispositivi di sicurezza. L’advisory SNWLID-2026-0019, pubblicato il 3 novembre, documenta due vulnerabilità presenti in GMS 9.5.2 e versioni precedenti. La prima, CVE-2026-109593, ha un punteggio CVSS 9,1 e consente potenzialmente a un aggressore non autenticato, con accesso alla rete del sistema, di leggere file interni contenenti informazioni sensibili. La seconda, CVE-2026-109594, è una SQL injection post-autenticazione con punteggio CVSS 6,8, capace di permettere l’accesso o la modifica di informazioni conservate nel database GMS quando vengono soddisfatte determinate condizioni.

A differenza delle vulnerabilità SonicOS, questi due problemi non riceveranno alcuna patch. SonicWall chiarisce che GMS ha raggiunto la fine del ciclo di vita nell’ottobre 2025 e non è quindi previsto lo sviluppo di aggiornamenti correttivi. Il produttore raccomanda il passaggio a SonicWall Network Security Manager (NSM), piattaforma destinata a sostituire il precedente sistema di gestione. La decisione lascia alle organizzazioni un problema differente rispetto al normale aggiornamento di sicurezza: un’installazione GMS vulnerabile non può essere resa corretta semplicemente applicando una nuova release, perché tale release non esisterà. La continuità operativa deve essere affrontata attraverso una migrazione pianificata, accompagnata dalla riduzione dell’esposizione di rete e dalla verifica degli accessi alla piattaforma ancora in servizio. Il rischio riguarda anche la concentrazione delle informazioni. Un sistema centralizzato di gestione dei firewall può contenere configurazioni, informazioni amministrative e dati relativi all’infrastruttura, rendendo particolarmente delicata una vulnerabilità che permette la lettura di file interni. La SQL injection, invece, interessa l’integrità e la riservatezza delle informazioni archiviate, pur richiedendo un accesso autenticato. Gli advisory non documentano lo sfruttamento attivo di queste due falle: non devono quindi essere confuse con CVE-2026-19868, per la quale CISA ha confermato evidenze di attacco. La documentazione ufficiale è disponibile nell’advisory SonicWall SNWLID-2026-0019.

Continua con:

SonicWall e Fortinet, nuove vulnerabilità critiche nei loro prodotti

SonicWall SMA1000, falla CVSS 10 espone i gateway prima del login

Le VPN SonicWall rimangono nel mirino dopo gli attacchi contro SMA1000

Gli avvisi arrivano dopo una serie di incidenti che hanno interessato le appliance SonicWall SMA1000, utilizzate per l’accesso remoto sicuro. A ottobre il produttore ha corretto CVE-2026-102255, vulnerabilità con punteggio massimo CVSS 10, capace di consentire a un aggressore non autenticato di raggiungere funzionalità interne in determinate condizioni. Nelle settimane successive sono stati rilevati tentativi di sfruttamento, mentre le precedenti comunicazioni di settembre avevano già segnalato vulnerabilità concatenate contro gli stessi apparati. Le problematiche SMA1000 e la nuova falla CVE-2026-19868 non coincidono tecnicamente, ma evidenziano la stessa criticità operativa: i sistemi che proteggono l’accesso remoto costituiscono anche un bersaglio privilegiato per gli aggressori.

Per le organizzazioni che utilizzano dispositivi SonicWall, la risposta deve distinguere chiaramente i prodotti. I firewall SonicOS Gen7 e Gen8 richiedono l’installazione tempestiva dei firmware correttivi, seguita da controlli sugli accessi VPN e sulle configurazioni SAML. Le installazioni GMS 9.5.2 e precedenti richiedono invece l’avvio della migrazione a NSM, accompagnata da restrizioni di rete e verifiche sulle informazioni potenzialmente accessibili. In presenza di segnali sospetti, la semplice applicazione della patch non sostituisce l’analisi di un’eventuale compromissione precedente. L’inserimento della CVE-2026-19868 nel catalogo CISA rappresenta il segnale più urgente, perché documenta una vulnerabilità già entrata nel circuito degli attacchi reali. La decisione di non correggere GMS mostra invece il rischio dei sistemi di sicurezza mantenuti in produzione oltre il loro ciclo di supporto. In entrambi i casi, il problema non riguarda soltanto la presenza di una falla, ma la capacità delle aziende di conservare il controllo sulle infrastrutture che dovrebbero impedire gli accessi non autorizzati. Il riferimento istituzionale per le misure urgenti resta l’avviso CISA del 6 novembre 2026.