El 6 de noviembre de 2026, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) añadió la vulnerabilidad CVE-2026-19868 a su catálogo de vulnerabilidades explotadas conocidas (KEV), alertando sobre su explotación activa. Esta falla afecta directamente a la autenticación en el componente SonicOS SSLVPN de los equipos SonicWall. La vulnerabilidad permite a los usuarios que posean credenciales válidas para un método de autenticación alternativo eludir los controles centralizados de SAML, evadiendo de manera efectiva la Autenticación Multifactor (MFA). CISA ha establecido el 20 de noviembre de 2026 como fecha límite para su remediación obligatoria. Hasta el momento, la participación de ransomware o la identidad de las organizaciones afectadas permanece desconocida.
Análisis Técnico y Vectores de Riesgo
El riesgo principal recae en las organizaciones que dependen del protocolo SAML para centralizar y asegurar sus accesos remotos en sus appliances SonicWall, asumiendo erróneamente que todas las rutas están protegidas por MFA.
- Mecánica de Evasión (CWE-308): La falla se clasifica como uso de autenticación de un solo factor. Ocurre cuando el sistema SonicWall permite una ruta de autenticación alternativa que acepta únicamente una contraseña, eludiendo el flujo principal de SAML. Si un atacante obtiene credenciales válidas (por ejemplo, a través de phishing previo o filtraciones en la Dark Web), puede ingresar a la red corporativa sin tener que superar el desafío de MFA configurado en el proveedor de identidad.
- Aclaración Técnica: Es crucial destacar que el atacante todavía requiere credenciales válidas para la ruta alternativa; no es un bypass absoluto de autenticación, sino una degradación de los controles de seguridad. Es independiente de vulnerabilidades anteriores de SonicWall como CVE-2024-53704 (secuestro de sesión sin autenticación).
- Superficie Afectada y Severidad: La vulnerabilidad posee una puntuación CVSS de 7.1. Afecta a los dispositivos de hardware de séptima generación (Gen7) que ejecutan versiones de firmware 7.3.3-7015 y anteriores, así como a los de octava generación (Gen8) con versiones 8.2.2-8015 y anteriores.
Plan de Mitigación Operativa y Respuesta
- Inventario y Actualización Crítica: Verificar los modelos de los dispositivos SonicWall expuestos a Internet y actualizar el firmware inmediatamente a las versiones corregidas (7.3.4-7013 para Gen7 y 8.2.3-8015 para Gen8, o versiones posteriores compatibles).
- Auditoría de Rutas de Autenticación: Revisar exhaustivamente la configuración de SAML en SonicOS para identificar y deshabilitar métodos de inicio de sesión alternativos que no estén integrados con el proveedor de identidad y no fuercen la comprobación de MFA.
- Caza de Amenazas (Threat Hunting): Analizar los registros (logs) de actividad de la VPN de SonicWall en busca de accesos inesperados, inicios de sesión que no hayan pasado por el flujo SAML habitual, o conexiones originadas desde geolocalizaciones anómalas.
