SonicWall CVE-2026-19868: explotada según CISA, puede saltear el MFA de la VPN con SAML
Si tu empresa entra a la red de la oficina por la VPN de un firewall SonicWall, hoy toca actualizar. El 6 de noviembre de 2026 SonicWall publicó el aviso SNWLID-2026-0014, con actualizaciones de SonicOS que corrigen siete fallas, entre ellas la CVE-2026-19868: puede permitir que alguien con credenciales válidas de otro método de autenticación se saltee el control de inicio de sesión por SAML de la VPN SSL y, con eso, el segundo factor (MFA) cuando se exige a través de SAML. SonicWall dice que investigó un reporte de posible explotación, y ese mismo día la agencia de ciberseguridad de EE. UU., CISA, la agregó a su catálogo de fallas explotadas en ataques reales.
Qué hacer hoy: actualizá SonicOS a la 7.3.4-7013 o posterior si tu equipo es de séptima generación (Gen7), o a la 8.2.3-8015 o posterior si es de octava (Gen8). Según SonicWall, no hay una solución alternativa: la salida es actualizar. La falla explotada solo alcanza a los equipos que tienen SAML habilitado para iniciar sesión en la VPN SSL, pero el mismo aviso corrige otras seis fallas que no dependen de eso, así que conviene actualizar igual.
Qué equipos y versiones están afectados
| Generación | Familias | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Gen7 | TZ, NSa, NSsp y NSv | 7.3.3-7015 y anteriores | 7.3.4-7013 o posterior |
| Gen8 | TZ, NSa y NSv | 8.2.2-8015 y anteriores | 8.2.3-8015 o posterior |
Los modelos que nombra el aviso son, en Gen7: TZ 270, 270W, 370, 370W, 470, 470W, 570, 570W, 570P y 670; NSa 2700, 3700, 4700, 5700 y 6700; NSsp 10700, 11700, 13700 y 15700; y NSv 270, 470 y 870. En Gen8: TZ 80, 280, 280W, 380, 380W, 480, 580 y 680; NSa 2800, 3800, 4800 y 5800; y NSv XS, S, M y L. Las versiones virtuales NSv están afectadas en todas las plataformas que nombra SonicWall: VMware ESX, KVM, Hyper-V, AWS y Azure. El detalle está en el aviso oficial de SonicWall (en inglés).
Qué hace la falla y por qué importa
Cuando la VPN está configurada para que el inicio de sesión pase por SAML, es decir, por el proveedor de identidad de la empresa, ese proveedor suele pedir además el segundo factor: el código del celular o la aprobación en la app. Según SonicWall, la CVE-2026-19868 puede permitir que un usuario con credenciales válidas de otro método de autenticación se saltee ese control SAML y, con él, el MFA que se exige por esa vía. Dicho en criollo: la puerta pedía llave y código, y podía alcanzar con la llave de otra cerradura.
Ojo con el alcance: no es un acceso sin usuario ni contraseña. El atacante necesita credenciales válidas, y por eso el riesgo crece si alguna contraseña de la empresa se filtró o se repite en otros servicios. SonicWall le dio una gravedad de 7,1 sobre 10, atribuye el reporte de la falla a Ryan Harris, de The Electronic Office, y aclara que solo afecta a la VPN SSL de SonicOS cuando SAML está habilitado para ese inicio de sesión.
Sobre la explotación, hay que separar quién dice qué. SonicWall escribió que investigó «un reporte que indica una posible explotación» (traducido del inglés) y pidió actualizar cuanto antes. CISA la sumó el 6 de noviembre a su catálogo de vulnerabilidades explotadas y les dio a las agencias federales civiles de EE. UU. hasta el 20 de noviembre para resolverla. Esa fecha es una obligación para esas agencias, no un plazo para tu empresa: para vos, el momento es ahora. Ni SonicWall ni CISA dieron detalles de los ataques, y CISA marca como desconocido si se usó en campañas de ransomware. No hay datos de casos en América Latina.
Las otras seis fallas del mismo aviso
Aunque no uses SAML en la VPN, la actualización también tapa esto:
- Dos fallas en la interfaz de administración del firewall (CVE-2026-107154 y CVE-2026-107155), con gravedad de 8,8, que en condiciones específicas podrían permitir operaciones no autorizadas a un atacante remoto sin autenticar, si un usuario interactúa.
- Un desbordamiento en la VPN SSL, explotable sin iniciar sesión (CVE-2026-82308), que puede tirar el servicio.
- Dos desbordamientos en el cliente de autenticación TACACS+ (CVE-2026-77708 y CVE-2026-77709), también de denegación de servicio.
- Un hash de contraseña débil en las versiones virtuales NSv (CVE-2026-19703), que exige acceso local previo.
Para estas seis, el aviso no menciona explotación.
Pasos para hoy
- Mirá qué versión de SonicOS tenés en el panel de administración del firewall y compará con la tabla de arriba.
- Actualizá a la 7.3.4-7013 o la 8.2.3-8015, o a una posterior, según la generación. Si un proveedor te administra el equipo, pedíselo hoy y pedí que te confirme la versión instalada.
- Revisá si usás SAML para la VPN SSL. Si es así, estás en el grupo expuesto a la falla explotada hasta que actualices: como precaución, revisá los inicios de sesión recientes de la VPN y cambiá las contraseñas que sospeches filtradas o repetidas.
Un firewall sin actualizar es un portero de adorno: está en la puerta, pero no cuida.
Fuentes
- SonicWall PSIRT, aviso SNWLID-2026-0014 (en inglés), publicado el 6 de noviembre de 2026: las siete fallas, los modelos y versiones afectados y corregidos, y la aclaración de que no hay solución alternativa.
- CISA, catálogo de vulnerabilidades explotadas, entrada de CVE-2026-19868 (en inglés), agregada el 6 de noviembre de 2026.
- CVE Program, registro de CVE-2026-19868 (en inglés).
- BleepingComputer, nota del 6 de noviembre de 2026 (en inglés), que coincide con el aviso.
- Créditos de imagen: la portada y la infografía son fotomontajes editoriales asistidos por IA con fotos oficiales de producto de los firewalls SonicWall TZ 470 y TZ 380W y el logo oficial, publicados por SonicWall en su sitio; los datos son de SonicWall.
