CVE-2026-19868 — MFA'nız kapının yalnızca bir tarafında duruyorsa
SonicWall SSLVPN'deki SAML ve MFA atlatma açığı KEV'de. Saldırgan yeni bir şey kırmıyor; elindeki eski bir kimlik bilgisiyle, unutulmuş ikinci kapıdan giriyor. Avlanmanız gereken yer de tam orası.
İlk yazımı bilerek bu açığa ayırdım. Gürültülü bir remote code execution değil, manşetlerde uzun kalmayacak. Ama aktif olarak istismar ediliyor ve kurumların en çok güvendiği kontrolü, MFA'yı hedef alıyor. Bir tehdit avcısı için bundan daha öğretici bir vaka zor bulunur.
Ne oluyor?
CISA, SonicWall SonicOS'un SSLVPN bileşenindeki CVE-2026-19868 açığını 6 Kasım'da KEV kataloğuna ekledi; ayrıntıları sitedeki haberde derledik. Açığın sınıfı "tek faktörlü kimlik doğrulama kullanımı". Kaynaklara göre senaryo şu: Kullanıcılar SSLVPN'e SAML ile, dolayısıyla SAML üzerinden zorlanan MFA ile bağlanıyor. Ama aynı kullanıcı için başka bir kimlik doğrulama yolu da tanımlıysa, o yolun geçerli kimlik bilgisine sahip biri SAML denetimlerini ve onunla birlikte MFA'yı atlatabiliyor.
Risk altında olan profil net: SonicOS 7.x'te 7.3.4-7013, 8.x'te 8.2.2-8015 öncesi bir sürüm çalıştıran, SSLVPN'i açık olan ve SAML'a geçerken eski yerel ya da LDAP doğrulamasını tamamen kapatmamış kurumlar. Bu son koşul, geçiş projelerinde en sık atlanan adımdır.
Saldırgan ne kazanıyor?
Saldırganın ihtiyacı yeni bir zero-day değil, bir parola. Parola püskürtme (password spraying), eski bir sızıntı ya da infostealer loglarından gelen tek bir geçerli yerel hesap, MFA'ya güvenen bir ortamda doğrudan VPN oturumuna dönüşebiliyor. VPN oturumu ise iç ağa açılan, çoğu zaman geniş yetkili bir tünel demek.
Sessizliği de tehlikeli: Giriş başarılı olduğu için kimlik doğrulama hatası alarmı üretmez. Kullanıcı MFA bildirimi almadığı için bir şeyin ters gittiğini fark etmez. İstismar adımlarını burada yazmayacağım; savunma için gereken tek bilgi, kapının nerede olduğu.
Avlanma notları
Avın merkezinde tek bir soru var: SAML kullanması gereken bir kullanıcı, SAML dışı bir yöntemle oturum açtı mı?
- SSLVPN oturum loglarında her oturumun kimlik doğrulama yöntemini çıkarın. SAML kullanıcı grubunda yer alıp yerel ya da LDAP yöntemiyle açılmış oturumlar ilk av listenizdir.
- Aynı kullanıcı için MFA onayı görünmeyen başarılı girişleri, IdP loglarıyla VPN loglarını zaman damgası üzerinden eşleştirerek arayın. VPN'de oturum var ama IdP'de karşılığı yoksa bu iz anlamlıdır.
- Kaynak IP'leri kullanıcının olağan coğrafyası ve saatleriyle karşılaştırın; kısa aralıklarla çok sayıda hesapta denenen girişler parola püskürtmeye işaret eder.
- Cihaz sürümünü doğrulamak için yalnızca okuma yapan komut yeterli:
show version- Şüpheli bir oturum bulursanız, o oturumun VPN IP'sinden iç sistemlere yapılan bağlantıları (RDP, SMB, LDAP sorguları) aynı zaman aralığında inceleyin. Lateral movement genellikle ilk saatte başlar.
Bugün yapılacaklar
- SonicOS'u düzeltilmiş sürüme (7.3.4-7013 veya 8.2.2-8015 ve üzeri) yükseltin; KEV'de olduğu için acil change olarak ele alın.
- Yükseltme bekleyecekse SAML kullanan kullanıcılar için gereksiz alternatif doğrulama yöntemlerini kaldırmayı ve SSLVPN erişimini güvenilir kaynaklarla sınırlamayı değerlendirin; geçici önlemleri üretici bildiriminden doğrulayın.
- Son 30 günün SSLVPN loglarında yukarıdaki av sorusunu çalıştırın.
- Yerel ve LDAP hesaplarının parolalarını, özellikle servis ve eski kullanıcı hesaplarınınkileri yenileyin; kullanılmayanları devre dışı bırakın.
- SAML geçişini "tamamlandı" saymadan önce eski kimlik doğrulama yollarının gerçekten kapandığını belgeleyin.
Avcının notu
MFA bir kilittir; ama kilit yalnızca taktığınız kapıyı korur. Bu açık bize yeni bir silah göstermiyor, unuttuğumuz ikinci kapıyı gösteriyor. Bu hafta yapacağınız en değerli av, kendi ortamınızda kaç kapı olduğunu saymak olabilir.
