SonicWall SonicOS SSLVPN'de SAML ve MFA atlatma açığı istismar ediliyor: CVE-2026-19868 KEV'de
CISA, SonicOS SSLVPN'deki tek faktörlü kimlik doğrulama açığını 6 Kasım'da KEV kataloğuna ekledi. Geçerli bir alternatif kimlik bilgisine sahip saldırgan SAML denetimlerini ve SAML ile zorlanan MFA'yı atlatabiliyor.
CVE-2026-19868
CISA, SonicWall SonicOS'un SSLVPN bileşenindeki CVE-2026-19868 açığını 6 Kasım'da Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Açık, "tek faktörlü kimlik doğrulama kullanımı" olarak sınıflandırılıyor: başka bir kimlik doğrulama yöntemi için geçerli kimlik bilgilerine sahip bir kullanıcı, SSLVPN'de tanımlı SAML denetimlerini atlatabiliyor; bu durum SAML üzerinden zorlanan MFA'nın da devre dışı kalmasına yol açabiliyor.
SonicWall, açığın saldırılarda kullanıldığını belirtiyor (bülten kimliği SNWLID-2026-0014). ABD federal kurumları için düzeltme süresi 20 Kasım 2026. Çalınmış veya parola püskürtme (password spraying) ile ele geçirilmiş yerel hesaplar, MFA'ya güvenen kurumlarda doğrudan VPN erişimine dönüşebileceği için risk yüksek.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| SonicOS 7.x (SSLVPN) | 7.3.4-7013 öncesi | 7.3.4-7013 |
| SonicOS 8.x (SSLVPN) | 8.2.2-8015 öncesi | 8.2.2-8015 |
Sürümler Kanada Siber Güvenlik Merkezi'nin AV26-1133 bildiriminden alınmıştır; model bazında kesin liste için SonicWall PSIRT'teki SNWLID-2026-0014 bildirimine bakın.
Beni etkiliyor mu?
- Cihazın SonicOS sürümünü kontrol edin (arayüzde Device › Settings › Firmware and Settings ya da Dashboard'daki sistem bilgisi). CLI'de:
show version- SSLVPN'in açık olup olmadığını ve kullanıcıların SAML ile mi doğrulandığını Network › SSL VPN ve Users › Settings ekranlarından inceleyin.
- SAML kullanırken aynı kullanıcı için yerel veya LDAP gibi alternatif bir kimlik doğrulama yolu da tanımlıysa ortamınız açığın hedef senaryosuna uyuyor.
Ne yapılmalı?
- SonicOS'u bildirimdeki düzeltilmiş sürüme (7.3.4-7013 veya 8.2.2-8015 ve üzeri) yükseltin; KEV listesinde olduğu için acil change olarak ele alın.
- Yükseltme hemen yapılamıyorsa SSLVPN erişimini güvenilir IP adresleriyle sınırlamayı ve SAML kullanan kullanıcılar için gereksiz alternatif kimlik doğrulama yöntemlerini kaldırmayı değerlendirin; üreticinin önerdiği geçici önlemleri bildirimden doğrulayın.
- SSLVPN oturum loglarında SAML dışı yöntemle açılan oturumları, olağan dışı kaynak IP'leri ve MFA adımı görünmeyen girişleri geriye dönük inceleyin.
- Yerel ve LDAP hesaplarının parolalarını, özellikle uzun süredir değişmemiş olanları yenileyin.
- Şüpheli giriş bulunursa VPN üzerinden erişilen iç sistemlerde lateral movement izi arayın.
