Ing. Calogero Bono
SonicWall hat Updates für 7 Schwachstellen in SonicOS veröffentlicht, das Betriebssystem seiner Firewalls. Die ACN meldet im Alert vom 9. November 2026, dass für die CVE-2026-19868 aktive Ausnutzungsversuche im Netz beobachtet wurden. Die Lücke betrifft den Dienst SSLVPN und kann die SAML-Kontrollen umgehen, also auch die Multi-Faktor-Authentifizierung. Das ist wichtig, denn die Firewall ist das Eingangstor zum Firmennetz.
Ein paar Begriffe, bevor wir zu den Fakten kommen. SonicOS ist das Betriebssystem der SonicWall-Firewalls. SSLVPN ist der Dienst, über den man sich von außen ins Firmennetz einwählt. SAML ist ein Single-Sign-on-System, das die Anmeldung an einen Identitätsanbieter delegiert. MFA ist die Multi-Faktor-Authentifizierung, also Passwort plus eine zweite Kontrolle. CVSS ist die Bewertung von 0 bis 10, die den Schweregrad einer Lücke misst.
Was ist bei SonicOS passiert?
Laut dem Alert der ACN beheben die Sicherheitsupdates 7 Schwachstellen, 4 davon mit hohem Schweregrad. Herausragend ist die CVE-2026-19868, für die die Agentur in der CVE-Tabelle Ausnutzung vermerkt.
Die aufgeführten Typen sind Authentifizierungs-Bypass, Denial of Service und Umgehung von Sicherheitsbeschränkungen. Das Bulletin ist Version 1.0 und wurde am 9. November 2026 veröffentlicht.
Wie funktioniert die CVE-2026-19868?
Die Lücke ist vom Typ Authentication Enforcement Bypass und hat einen CVSS-3.1-Wert von 7.1. Laut ACN liegt sie in einer unzureichenden Durchsetzung der SAML-Authentifizierungskontrollen im Dienst SSLVPN.
Wer über gültige Zugangsdaten zu alternativen Authentifizierungsmethoden verfügt, könnte die SAML-Kontrollen umgehen. Wird die MFA über SAML umgesetzt, würde auch sie umgangen.
The Hacker News nennt für dieselbe Lücke einen Wert von 7.1 / 7.5. Im Text der ACN steht nur der Wert 7.1.
Welche Versionen von SonicOS sind betroffen?
Die ACN nennt zwei Zweige.
- Gen7, Version 7.3.3-7015 und früher
- Gen8, Version 8.2.2-8015 und früher
Die vollständige Produktliste steht im Abschnitt «Affected Product(s)» des Herstellerbulletins. Die ACN empfiehlt, zeitnah entsprechend diesen Angaben zu aktualisieren.
Welche weiteren schweren Lücken gibt es und was sagt die CISA?
Laut The Hacker News hat die US-Behörde CISA die CVE-2026-19868 in den KEV-Katalog aufgenommen, also die Liste der ausgenutzten Schwachstellen. Zivile Bundesbehörden müssen die Patches bis zum 20. November 2026 einspielen.
Die anderen hohen Lücken sind die CVE-2026-107155 und die CVE-2026-107154, beide mit CVSS 8.8 und in der Verwaltungsoberfläche, sowie die CVE-2026-82308 (CVSS 7.5), ein Buffer Overflow vor der Authentifizierung in der SSLVPN, der einen Denial of Service auslösen kann.
Das Thema angegriffener Firewalls erinnert an den Fall Cisco ASA und FTD, mit einer Zero-Day-Lücke in der SSL-VPN.
Grenzen, die du kennen solltest
SonicWall hat laut The Hacker News eine Meldung über einen möglichen Missbrauch untersucht, aber keine Details zum Angriff und zu den Tätern genannt. Wie viele Geräte betroffen sind, wissen wir nicht. In der Tabelle der ACN gibt es keine öffentlichen Demo-Exploits. Das Bild kann sich mit neuen Informationen des Herstellers ändern.
Was sich für alle ändert, die digital arbeiten
Wenn dein Unternehmen eine SonicWall-Firewall mit SSLVPN nutzt, ist das Update jetzt die Priorität. Prüfe die SonicOS-Version und vergleiche sie mit den genannten Zweigen. Kontrolliere, ob der VPN-Zugang über SAML mit MFA läuft, denn genau dieser Fall ist gefährdet. Sieh die Logs der letzten Fernzugriffe durch und suche nach ungewöhnlichen Anmeldungen. Wer seine Server extern betreiben lässt, sollte die Patch-Zeiten bestätigen lassen, wie bei einem verwalteten Hosting mit Sicherheitsupdates.
Unsere Einschätzung
Die Lücke ist mit einem Wert von 7.1 nicht die schwerste, trifft aber den empfindlichsten Punkt, nämlich die MFA. Viele Unternehmen halten sie für eine sichere Bank, hier hängt alles davon ab, wie sie konfiguriert ist. Das Risiko bleibt auf Angreifer mit gültigen Zugangsdaten begrenzt, doch gestohlene Zugangsdaten sind weit verbreitet. Dahinter steckt ein wiederkehrendes Problem – Perimeter-Geräte sind bevorzugte Ziele und werden zu spät aktualisiert. Auch im Vergleich mit anderen Fällen, etwa Apache OFBiz, ändert sich die Botschaft nicht.
Häufig gestellte Fragen
Was ist die CVE-2026-19868?
Es ist eine Lücke in SonicOS im Dienst SSLVPN. Mit gültigen Zugangsdaten einer alternativen Methode lassen sich die SAML-Kontrollen und die über SAML erzwungene MFA umgehen.
Wird sie schon ausgenutzt?
Ja, die ACN meldet aktive Ausnutzung im Netz. SonicWall spricht von einer Meldung über einen möglichen Missbrauch und nennt keine weiteren Details.
Welche Versionen müssen aktualisiert werden?
Gen7 bis 7.3.3-7015 und Gen8 bis 8.2.2-8015. Die vollständige Liste steht im Bulletin des Herstellers.
Reicht die MFA, um sicher zu sein?
In diesem Fall nicht. Wird die MFA über SAML umgesetzt, kann die Lücke auch sie umgehen.
Was hat die CISA getan?
Sie hat die Lücke in den KEV-Katalog aufgenommen. Zivile US-Bundesbehörden müssen die Patches bis zum 20. November 2026 einspielen.
Was du in den nächsten Wochen bei SonicWall-Firewalls beobachten solltest
Der Fall entwickelt sich noch weiter und Details zum Angriff fehlen. Es lohnt sich, die Updates des Herstellers zu verfolgen.
- Verfolge das Bulletin von SonicWall und den Alert der ACN, um eine neue Fassung mit mehr Details zum Angriff zu finden.
- Prüfe auch den Umgang mit End-of-Life-Produkten, etwa die von The Hacker News genannten GMS-Systeme, die durch NSM ersetzt werden sollten.
- Überlege, den Fernzugriff nicht nur von einer einzigen Kontrollebene abhängig zu machen, und setze zusätzliche Prüfungen neben SAML ein.
