VPN SSL de SonicWall: explotan un fallo que elude SAML y la autenticación multifactor, advierte la CISA

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

La CISA añadió el 6 de noviembre de 2026 la CVE-2026-19868, un fallo del servicio VPN SSL de los firewalls SonicWall SonicOS, a su catálogo de vulnerabilidades explotadas activamente. Un usuario con credenciales válidas para otro método de inicio de sesión puede saltarse la autenticación SAML y la autenticación multifactor que esta impone; ya hay versiones corregidas de SonicOS.

Qué ha pasado

SonicWall publicó el 6 de noviembre de 2026 el boletín de seguridad SNWLID-2026-0014, que corrige varios fallos de SonicOS, el sistema de sus firewalls Gen7 y Gen8. Ese mismo día, la agencia estadounidense CISA incluyó uno de ellos, la CVE-2026-19868, en su catálogo de vulnerabilidades explotadas y dio a las agencias federales hasta el 20 de noviembre para corregirlo. En su aviso del 9 de noviembre, el CERT-FR francés indica que SonicWall informa de una explotación activa.

Cómo funciona el fallo

Según el registro CVE redactado por SonicWall, el servicio VPN SSL no aplica correctamente el método de autenticación elegido. Quien tenga credenciales válidas para un método alternativo, por ejemplo una cuenta local, puede conectarse sin pasar por SAML y, por tanto, sin la autenticación multifactor que SAML debía garantizar. La CISA le asigna una puntuación de 7,5 sobre 10. En la práctica, basta una contraseña robada o reutilizada en otro sitio para abrir una sesión VPN que la empresa creía protegida por MFA.

Están afectadas las versiones SonicOS 7.3.3-7015 y anteriores, y 8.2.2-8015 y anteriores. El CERT-FR considera vulnerables las versiones anteriores a 7.3.4-7013 y 8.2.3-8015.

Qué hacer ahora

1. Actualice SonicOS a 7.3.4-7013 (Gen7) u 8.2.3-8015 (Gen8) o posterior, según el boletín SNWLID-2026-0014.
2. Haga inventario de los métodos de inicio de sesión que acepta la VPN SSL: elimine las cuentas locales o LDAP que no deban conectarse si SAML es su norma.
3. Cambie las contraseñas de todas las cuentas autorizadas en la VPN, empezando por las de administración y de servicio.
4. Revise los registros de la VPN desde octubre: sesiones abiertas sin paso por SAML, direcciones IP inusuales, conexiones a horas extrañas.
5. Si el portal VPN no necesita estar abierto a todo Internet, restrínjalo por país o por dirección de origen.

Nuestra opinión

La autenticación multifactor solo protege una VPN si todos los caminos de acceso pasan por ella. Una vieja cuenta local guardada como respaldo basta para anular todo el sistema: inventaríe los métodos de inicio de sesión de sus equipos expuestos con el mismo cuidado con que los actualiza.

Fuentes

• CERT-FR — Multiples vulnérabilités dans SonicWall SonicOS (CERTFR-2026-AVI-1483)
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-19868 (SonicWall SonicOS)
• CVE Program — CVE-2026-19868 record (SonicWall)

Cómo elegimos, verificamos y redactamos nuestros análisis →