SonicWall SonicOS: зловмисники обходять MFA у SSL-VPN — вразливість уже в каталозі CISA

Що сталося

Компанія SonicWall випустила екстрене оновлення для своїх міжмережевих екранів SonicOS, яке закриває вразливість обходу багатофакторної автентифікації (MFA) у сервісі SSL-VPN. Вразливість отримала ідентифікатор CVE-2026-19868 і, за даними Агентства з кібербезпеки та захисту інфраструктури США (CISA), уже активно експлуатується зловмисниками.

Проблема в тому, що зловмисник, який має дійсні облікові дані для одного з альтернативних методів входу (наприклад, локального облікового запису, LDAP або RADIUS), може обійти SAML-автентифікацію та, як наслідок, MFA, яку нав'язує SAML-провайдер. Простіше кажучи: якщо на міжмережевому екрані ввімкнено SAML для входу в SSL-VPN, але одночасно залишився ще один спосіб входу, атакувальник може «прослизнути» через нього, повністю оминувши додатковий фактор захисту.

CISA додала вразливість до каталогу Known Exploited Vulnerabilities (KEV) 6 листопада 2026 року із дедлайном для федеральних цивільних агентств США — 20 листопада 2026 року. Такий дедлайн означає одне: уразливість підтверджено використовують у реальних атаках, і зволікати не можна.

Технічний розбір: як працює обхід

Офіційний опис SonicWall звучить так: *«вразливість порушення автентифікації в сервісі SonicOS SSLVPN може дозволити користувачу з дійсними обліковими даними для альтернативного методу автентифікації обійти засоби контролю SAML-автентифікації. Успішна експлуатація також може обійти багатофакторну автентифікацію (MFA), яку нав'язує SAML»*.

Ключові технічні характеристики вразливості:

• CVSS-оцінка: 7.1 (за версією 3.1 від SonicWall; деякі джерела вказують 7.5), клас — High.
• Вектор атаки: мережевий, але з високою складністю (AC:H) — тобто експлуатація вимагає специфічних умов.
• Передумова: зловмисник має мати валідні облікові дані для альтернативного методу входу (локальний обліковий запис, LDAP або RADIUS).
• Умова спрацьовування: уразливість зачіпає лише ті конфігурації, де для входу в SSL-VPN увімкнено SAML.
• Наслідок: несанкціонований віддалений доступ до внутрішньої мережі в обхід другого фактора.

Інакше кажучи, сама вразливість не дозволяє увійти без пароля — вона дозволяє людині, яка вже володіє одними дійсними обліковими даними, позбутися додаткового рівня захисту у вигляді SAML/MFA. Це класичний приклад «обходу контролю автентифікації», а не повного її обходу.

В інтернеті вже з'явився публічний proof-of-concept-скрипт, який демонструє підхід до експлуатації: він приймає адресу цільового пристрою, логін/пароль та метод входу (local/LDAP/RADIUS) і отримує автентифіковану сесію SSL-VPN в обхід SAML. Наявність таких PoC знижує поріг входу для менш досвідчених зловмисників.

Короткий лікнеп: чому MFA і SAML — це не одне й те саме

Щоб зрозуміти суть проблеми, варто розрізняти два поняття, які часто плутають.

MFA (багатофакторна автентифікація) — це загальний принцип: щоб увійти, користувач має довести свою особу двома або більше факторами (щось, що він знає — пароль; щось, що має — телефон із застосунком-автентифікатором; щось, чим він є — відбиток пальця). Ідея в тому, що викраденого пароля самого по собі недостатньо.

SAML (Security Assertion Markup Language) — це протокол, який дозволяє делегувати автентифікацію зовнішньому провайдеру ідентичності (наприклад, Microsoft Entra ID, Okta або Google Workspace). Коли користувач заходить у VPN, міжмережевий екран перенаправляє його до провайдера ідентичності, той перевіряє особу (зокрема може вимагати MFA) і видає «твердження» про те, що користувач — це дійсно він.

Проблема CVE-2026-19868 виникає на стику цих двох механізмів. Якщо на екрані SonicWall увімкнено SAML для SSL-VPN, але при цьому існує ще один, «обхідний» метод входу (локальний обліковий запис, LDAP, RADIUS), то зловмисник із дійсними обліковими даними для цього альтернативного методу може увійти повз SAML — а отже, і повз ту MFA, яку нав'язує SAML-провайдер. Пароль у нього є, а ось другий фактор він більше не зобов'язаний показувати.

Саме тому вразливість класифікують як «обхід автентифікації за альтернативним методом», а не як «вгадування пароля»: без дійсних облікових даних ця дірка не працює, але з ними — повністю знімає додатковий рівень захисту.

Чому це небезпечно саме зараз

Кілька обставин роблять цю ситуацію особливо тривожною:

1. Підтверджена експлуатація. Потрапляння до каталогу CISA KEV — це не теоретична загроза, а офіційне підтвердження того, що вразливість використовують у дикій природі. SonicWall також заявила, що «розслідувала повідомлення про потенційну експлуатацію цієї вразливості».

1. MFA як останній рубіж. Для багатьох організацій VPN-шлюз — це «двері» у внутрішню мережу, а MFA — головний захист цих дверей від викрадених облікових даних. Обхід MFA означає, що навіть скомпрометовані внаслідок фішингу чи витоку паролі дають зловмиснику повний доступ.

1. SonicWall — поширена платформа. Міжмережеві екрани SonicWall масово використовують у середньому та малому бізнесі, зокрема в Україні. Така широка база встановлених пристроїв робить вразливість привабливою ціллю.

1. Відсутність workaround. SonicWall прямо заявляє, що обхідного рішення немає — єдиний спосіб захиститися це оновлення прошивки. Це означає, що до моменту оновлення вразливі системи залишаються відкритими.

1. Історія атак на SonicWall у 2026 році. Протягом року пристрої SonicWall неодноразово ставали мішенню кампаній із використанням 0-day-вразливостей, що свідчить про стійку увагу зловмисників до цієї платформи.

Периферійні VPN-пристрої — улюблена ціль зловмисників

Ця вразливість не існує у вакуумі. Протягом 2025–2026 років міжмережеві екрани та VPN-шлюзи стали однією з головних мішеней кібератак у світі. Причина проста: ці пристрої сидять на периметрі, мають публічно доступні інтерфейси, часто не оновлюються місяцями і дають зловмиснику одразу готовий доступ до внутрішньої мережі.

CISA неодноразово публікувала попередження про те, що саме периферійні мережеві пристрої (VPN-шлюзи, міжмережеві екрани, маршрутизатори) є одними з найбільш експлуатованих цілей. Логіка атакувальників зрозуміла: навіщо ламати окремі робочі станції, якщо можна отримати доступ через одну точку входу, яка за визначенням пропускає «своїх»?

Обхід MFA тут особливо болючий. Коли організація впроваджує MFA, вона зазвичай вважає, що закрила проблему викрадених паролів. Але вразливість конфігурації — коли поряд із захищеним SAML-входом залишається незахищений альтернативний метод — зводить нанівець усю цю роботу. Це урок для всіх: безпека автентифікації визначається найслабшою ланкою, а не найсильнішою.

Для українських компаній ця тема має додаткову вагу. В умовах постійного тиску на інфраструктуру периферійні пристрої, які не оновлюються, — це прямий запрошувальний квиток для зловмисника. Навіть якщо ваша організація не є прямою ціллю державного актора, автоматизовані сканери та опортуністичні угруповання активно шукають вразливі VPN-шлюзи.

Інші вразливості в тому самому оновленні

Оновлення SonicWall виправляє не одну, а сім уразливостей у SonicOS. Серед них варто виділити:

• CVE-2026-107155 (CVSS 8.8) — надмірно дозволена cross-domain політика в інтерфейсі керування SonicOS, яка за певних умов дозволяє віддаленому неавтентифікованому зловмиснику виконувати несанкціоновані операції.
• CVE-2026-107154 (CVSS 8.8) — вразливість перевірки сесії в інтерфейсі керування SonicOS, також із потенціалом несанкціонованих операцій неавтентифікованим зловмисником.
• CVE-2026-82308 (CVSS 7.5) — переповнення буфера в купі (heap-based buffer overflow) у сервісі SSL-VPN до автентифікації, яке може призвести до відмови в обслуговуванні (DoS).
• Додаткові вразливості — переповнення буфера до автентифікації у сервісі TACACS+ (DoS) та слабке хешування паролів у віртуальних пристроях.

Особливу увагу варто звернути на дві вразливості інтерфейсу керування з оцінкою 8.8 — навіть якщо SSL-VPN із SAML у вас не налаштований, ці проблеми можуть стосуватися пристрою.

Які версії вразливі та хто під загрозою

Вразливими є такі версії SonicOS:

Під загрозою перебувають організації, які:

• використовують міжмережеві екрани SonicWall із SonicOS Gen7 або Gen8;
• увімкнули SAML для входу в SSL-VPN;
• одночасно мають ще один метод входу (локальний обліковий запис, LDAP або RADIUS), що є типовою конфігурацією для резервного доступу.

Показово, що навіть якщо MFA виглядає «увімкненою», конфігурація з кількома методами входу фактично нівелює її для атакувальника з дійсними обліковими даними альтернативного методу.

Як захиститися: покроковий план

1. Визначте версію прошивки. Увійдіть в інтерфейс керування SonicWall і перевірте версію SonicOS. Якщо це Gen7 ≤ 7.3.3-7015 або Gen8 ≤ 8.2.2-8015 — пристрій вразливий.

1. Оновіть негайно. Встановіть SonicOS 7.3.4-7013 (Gen7) або 8.2.3-8015 (Gen8). Обхідного рішення немає — оновлення є єдиним способом закрити вразливість. Для пристроїв, що перебувають під дією федеральних вимог США, дедлайн — 20 листопада 2026 року, але на практиці зволікати не варто жодному бізнесу.

1. Перегляньте методи входу в SSL-VPN. Якщо SAML увімкнено, переконайтеся, що альтернативні методи входу (локальні облікові записи, LDAP, RADIUS) обмежені лише тими, що справді потрібні, і не відкривають обхідний шлях. Принцип «мінімум методів входу» знижує площу атаки.

1. Перевірте журнали. Проаналізуйте журнали SSL-VPN за останні тижні на предмет підозрілих входів: вхід з незвичних IP, автентифікація в нетиповий час, вхід методом, що відрізняється від звичного для користувача. SonicWall не надає спеціальної процедури перевірки на компрометацію для цієї вразливості, тож пильність до аномалій особливо важлива.

1. Застосуйте принцип нульової довіри. Обхід MFA на периметрі нагадує: не можна покладатися лише на VPN-шлюз як на межу довіри. Сегментуйте мережу, обмежуйте латеральний рух і вимагайте окремої автентифікації до критичних систем.

1. Перевірте, чи не витекли ваші облікові дані. Оскільки атака покладається на наявність дійсних облікових даних, варто переконатися, що облікові записи співробітників не скомпрометовані. Для цього можна скористатися безкоштовною перевіркою витоків на cyberpeople.tech.

Висновок

CVE-2026-19868 — ще одне нагадування, що багатофакторна автентифікація захищає лише тоді, коли її неможливо обійти конфігураційним шляхом. Вразливість SonicWall SonicOS підтверджено експлуатується, обхідного рішення немає, а публічні PoC вже доступні — це робить оновлення прошивки питанням не тижнів, а днів.

Для українських організацій, які використовують SonicWall як VPN-шлюз, головна рекомендація проста: перевірте версію SonicOS і оновіться до 7.3.4-7013 або 8.2.3-8015 негайно, перегляньте методи входу в SSL-VPN і переконайтеся, що жоден альтернативний спосіб входу не відкриває зловмиснику дорогу в обхід MFA. Поєднання своєчасного патчингу з сегментацією мережі та перевіркою облікових даних на витоки — це той мінімум, який дозволить знизити ризик до прийнятного рівня.

Більше про те, як вибудовувати захист від подібних загроз, читайте в нашому матеріалі про навчання з кібербезпеки.