Der Netzwerksicherheitsanbieter SonicWall warnt vor einer kritischen Sicherheitslücke in der SSLVPN-Komponente seines Betriebssystems SonicOS, die von Angreifern bereits aktiv ausgenutzt wird.
Das Unternehmen veröffentlichte dazu am 6. November 2026 einen Sicherheitshinweis mit der Kennung SNWLID-2026-0014. Die Schwachstelle wird unter der Bezeichnung CVE-2026-19868 geführt und betrifft Firewalls, bei denen die Authentifizierung per SAML für SSLVPN-Verbindungen eingerichtet ist.
Umgehung von Kontrollen und Mehrfaktor-Authentifizierung
Die als Authentifizierungsfehler (CWE-308) eingestufte Schwachstelle ermöglicht es Anwendern, die über gültige Anmeldedaten einer alternativen Authentifizierungsmethode verfügen, festgelegte SAML-Kontrollen auszuhebeln. Auf diesem Weg lässt sich auch eine über SAML vorgeschriebene Mehrfaktor-Authentifizierung umgehen.
Den Angaben zufolge handelt es sich jedoch weder um einen Angriff ohne Zugangsdaten noch um das unbefugte Ausführen von Schadcode aus der Ferne. Betroffen sind ausschließlich Systeme, die externe SAML-Dienste wie Entra ID oder Okta für SSLVPN-Anmeldungen nutzen.
Entdeckt wurde die Lücke von Ryan Harris vom IT-Dienstleister The Electronic Office. Das Incident-Response-Team von SonicWall prüfte Meldungen über eine tatsächliche Ausnutzung der Schwachstelle. Konkrete Angaben zu betroffenen Organisationen, den Angreifern oder Kompromittierungsindikatoren wurden bislang nicht veröffentlicht.
Während professionelle Netzwerkinfrastrukturen durch Updates gesichert werden, bleiben viele Endgeräte im geschäftlichen Alltag oft ungeschützt. Erfahren Sie in diesem kostenlosen Report, wie Sie Sicherheitslücken schließen und die IT-Sicherheit Ihres Unternehmens ohne hohe Investitionen stärken. Gratis-E-Book: Cyber-Security-Trends für Unternehmen
Die Schwere der Lücke stuft SonicWall mit einem CVSS-3.1-Wert von 7.1 ein, während die National Vulnerability Database sowie CISA-ADP den Schweregrad mit 7.5 bewerten. Der im Sicherheitsbulletin ausgewiesene Gesamtwert von 8.8 bezieht sich nicht auf dieses spezifische Problem, sondern auf weitere dort dokumentierte Schwachstellen.
Betroffene Geräte und Update-Verpflichtungen
Die Sicherheitslücke betrifft Geräte der Generation 7 (Modellreihen TZ 270 bis 670, NSa 2700 bis 6700, NSsp 10700 bis 15700 sowie NSv) bis einschließlich der Firmware-Version 7.3.3-7015. Ebenfalls verwundbar sind Firewalls der Generation 8 (TZ 80 bis 680, NSa 2800 bis 5800 und NSv) bis einschließlich Version 8.2.2-8015.
Da keine Behelfslösungen zur Risikominderung existieren, rät SonicWall dringend zur sofortigen Aktualisierung auf SonicOS 7.3.4-7013 oder neuer für Gen7-Systeme beziehungsweise auf SonicOS 8.2.3-8015 oder höher für Gen8-Installationen.
Aufgrund der bestätigten Angriffe nahm die US-Cybersicherheitsbehörde CISA die Schwachstelle am 6. November 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken auf. US-Bundesbehörden müssen den Patch gemäß der Direktive Binding Operational Directive 26-04 bis zum 20. November 2026 einspielen.
Die zunehmende Komplexität von Cyberangriffen erfordert oft ein schnelles Umdenken bei den internen Sicherheitsstrategien. Dieser kostenlose Leitfaden zeigt Unternehmen in vier Schritten, wie sie sich proaktiv absichern und gängige Einfallstore für Hacker effektiv schließen. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Eine Verbindung zu Ransomware-Vorfällen führt die CISA derzeit als unbekannt, das Feld für forensische Triage steht auf Nein. Auch das Canadian Cyber Centre bestätigte die Aufnahme in einer eigenen Warnmeldung unter der Kennung AV26-1133.
Weitere Schwachstellen im Sicherheitsbericht
Das Bulletin SNWLID-2026-0014 von SonicWall führt insgesamt sieben Schwachstellen in SonicOS auf. Dazu gehören CVE-2026-107155 und CVE-2026-107154 im Management-Interface mit einem CVSS-Wert von jeweils 8.8 sowie ein Pre-Authentication Heap Overflow im SSL-VPN (CVE-2026-82308, CVSS 7.5).
Zudem werden zwei Schwachstellen im TACACS+-Protokoll (CVE-2026-77708 und CVE-2026-77709, jeweils CVSS 5.9) und ein Problem durch schwache Hash-Verfahren (CVE-2026-19703, CVSS 5.2) behoben.
Unabhängig von diesen Aktualisierungen weist das Unternehmen darauf hin, dass ältere Versionen des Global Management Systems bis Version 9.5.2 nicht mehr unterstützt werden. Diese weisen die ungepatchten Schwachstellen CVE-2026-109593 mit einem CVSS-Wert von 9.1 und CVE-2026-109594 auf; Nutzern wird eine Migration zu Network Security Manager empfohlen.
Bereits Anfang Oktober war zudem eine Schwachstelle in SMA1000-Systemen mit dem maximalen CVSS-Wert von 10.0 (CVE-2026-102255) Ziel von Angriffen geworden.