SonicWall hat am 6. November 2026 eine Sicherheitslücke im SSL-VPN seiner SonicOS-Firewalls geöffentlicht, die eine mittels SAML erzwungene Zwei-Faktor-Anmeldung aushebelt. Das US-amerikanische CERT CISA hat CVE-2026-19868 noch am selben Tag in seinen Katalog aktiv ausgenutzter Lücken aufgenommen und US-Behörden eine Frist bis 20. November 2026 gesetzt. Betroffen sind alle Gen-7- und Gen-8-Firewalls bis einschließlich SonicOS 7.3.3-7015 bzw. 8.2.2-8015. Einen Workaround gibt es laut Hersteller nicht – wer SSL-VPN mit SAML einsetzt, muss patchen.

Was die Lücke technisch macht

Nach dem SonicWall-Advisory SNWLID-2026-0014 setzt das SSL-VPN die SAML-Richtlinie nicht konsequent durch, wenn ein Benutzerkonto zusätzlich über ein zweites Anmeldeverfahren (zum Beispiel LDAP, RADIUS oder lokal) erreichbar ist. Loggt sich ein Angreifer mit Benutzername und Passwort über diesen „alternate authentication method”-Pfad ein, akzeptiert das Gateway die Anmeldung – ohne die eigentlich verpflichtende SAML-Assertion samt MFA-Prüfung überhaupt anzustoßen. Ergebnis: Ein gestohlenes Passwort reicht, um in das interne Netz zu kommen, obwohl der Admin bewusst eine Zwei-Faktor-Anmeldung per SAML-IdP erzwingt. SonicWall klassifiziert die Schwachstelle als CWE-308 („Use of Single-Factor Authentication“); der Hersteller gibt ihr einen CVSS-Score von 7,1.

Die Besonderheit dieser Bypass-Variante: Der SAML-Pfad selbst bleibt intakt. Der Identity Provider sieht keinen Login-Versuch, loggt keine fehlgeschlagene Anmeldung, erzwingt kein MFA-Challenge – ganz einfach, weil er nie befragt wird. Ein Monitoring, das ausschließlich am IdP hängt, bemerkt den Zugriff entsprechend nicht; die Spur taucht nur im Log des SSL-VPN-Gateways selbst auf. Das macht die Lücke auch forensisch unangenehm, weil Administratoren Angriffsversuche häufig primär im IdP-Dashboard suchen.

Zur konkreten Ausnutzung hält sich SonicWall bedeckt. Das Advisory spricht neutral von „potential exploitation“, die CISA-Aufnahme in den KEV-Katalog bedeutet jedoch nach Agentur-Definition, dass belastbare Hinweise auf aktive Angriffe vorliegen. Weder Opferzahl noch Angriffsmuster hat die Behörde bislang öffentlich gemacht. Als Entdecker nennt SonicWall Ryan Harris vom Dienstleister „The Electronic Office“.

Symbolbild: 19-Zoll-Rack mit Ethernet-Switches und Patchpanels

Bild: Symbolbild. 19-Zoll-Rack mit Switches und Patchpanels. Foto: Dsimic, Lizenz CC BY-SA 4.0, via Wikimedia Commons.

Welche Versionen betroffen sind

Die Lücke steckt in SonicOS bis einschließlich dieser Versionen:

  • Gen 7 (TZ-, NSa-, NSsp-, NSv-Firewalls): SonicOS 7.3.3-7015 und älter
  • Gen 8 (TZ-, NSa-, NSv-Firewalls): SonicOS 8.2.2-8015 und älter

Fixes liefert SonicWall mit SonicOS 7.3.4-7013 für Gen 7 und 8.2.3-8015 für Gen 8. Beide Pakete schließen laut Hersteller insgesamt sieben Schwachstellen; CVE-2026-19868 ist die kritischste, weil sie den MFA-Schutz direkt entwertet. Einen Workaround nennt das Advisory ausdrüclich nicht – das Update ist die einzige Gegenmaßnahme. Nur SSL-VPN-Deployments mit aktiver SAML-Konfiguration sind betroffen; wer lokal, über RADIUS oder ohne SAML anmeldet, ist nicht verwundbar.

Warum CISA so schnell handelt

SSL-VPN-Gateways von SonicWall stehen bei Angreifern seit Jahren hoch im Kurs: Erst im September 2026 musste der Hersteller einräumen, dass ein Backup-Dienst für Firewall-Konfigurationen kompromittiert worden war – mit Zugriff auf gespeicherte Credentials. Eine Bypass-Lücke, die ausgerechnet die MFA unwirksam macht, ist in diesem Umfeld ein Zugangsticket. Die CISA ordnet die Schwachstelle unter Binding Operational Directive 22-01 ein und verpflichtet US-Bundesbehörden, bis 20. November 2026 zu patchen oder die Dienste abzuschalten. Für privatwirtschaftliche Betreiber ist das zwar nicht bindend, gilt aber als starker Indikator für tatsächliche Angriffsaktivität.

Das Advisory SNWLID-2026-0014 fasst insgesamt sieben Schwachstellen zusammen, die SonicWall mit derselben Firmware schließt. Darunter sind weitere Auth-Probleme und Memory-Fehler mittlerer Schwere; CVE-2026-19868 sticht hervor, weil sie Credentials direkt zu Netzzugang veredelt. Angreifer kombinieren solche Bypass-Lücken erfahrungsgemäß mit vorher abgegriffenen Anmeldedaten aus Phishing-Kampagnen oder Infostealer-Dumps – Mitarbeiter-Passwörter zirkulieren in diesen Datenbanken massenhaft, nur die MFA hielt bisher den Zugriff ab.

Was du jetzt tun solltest

Wenn du eine SonicWall-Firewall betreibst und SSL-VPN eingeschaltet hast, geh so vor:

  1. Version prüfen. Im Webinterface unter MONITOR → System → Status die aktuelle Firmware auslesen oder per Kommandozeile:
    show version
  2. Patchen. Spiel SonicOS 7.3.4-7013 (Gen 7) oder 8.2.3-8015 (Gen 8) ein. SonicWall liefert die Pakete über MySonicWall. Vor dem Update ein Konfig-Backup ziehen.
  3. SAML-Konten prüfen. Sichte alle Benutzer, die laut SAML-Richtlinie MFA erzwingen müssen, und kontrolliere, ob dieselben Konten noch über LDAP, RADIUS oder lokale Passwörter anmelden könnten. Deaktiviere unnötige Zweitpfade für diese Konten dauerhaft.
  4. VPN-Logs auswerten. Suche in den letzten 60 Tagen nach SSL-VPN-Anmeldungen, die ohne SAML-Assertion zustande kamen, obwohl das Konto SAML-pflichtig ist. Besonders verdächtig: Anmeldungen von ungewöhnlichen Standorten, kurz nach Passwort-Resets oder außerhalb der normalen Arbeitszeit.
  5. Passwörter rotieren. Konten, bei denen du unsicher bist, bekommen ein neues Passwort. Admin-Konten auf jeden Fall.

Auch GMS ist ein Problem – aber ohne Patch

Die Schwachstelle im SSL-VPN steht nicht allein. Parallel hat SonicWall Anfang November Lücken im abgekündigten Management-System GMS (Global Management System) offengelegt – darunter einen unauthentifizierten Dateizugriff mit CVSS 9,1. Weil GMS seit 30. September 2026 End of Life ist, wird es dafür keine Updates mehr geben. Wer beides betreibt, sollte das SSL-VPN-Update nicht als abschließende Maßnahme ansehen und sich parallel um die GMS-Migration kümmern.

Quellen

Bildnachweis