SonicWall ha publicado SonicOS 7.3.4 y 8.2.3 para sus cortafuegos Gen 7 y Gen 8 con la corrección de siete vulnerabilidades, una de ellas ya explotada: CVE-2026-19868, un fallo del servicio SSL-VPN que puede saltarse la autenticación SAML y el MFA que depende de ella. La CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos) la incorporó el 06/11/2026 a su catálogo de vulnerabilidades explotadas y fija el 20/11/2026 como fecha límite para las agencias federales de Estados Unidos.
Las claves del fallo CVE-2026-19868 de SonicWall en 30 segundos
- El aviso SNWLID-2026-0014 corrige siete CVE en SonicOS para cortafuegos Gen 7 y Gen 8, físicos y virtuales.
- CVE-2026-19868 afecta al SSL-VPN con inicio de sesión SAML y puede anular el MFA exigido por esa vía.
- La CISA la añadió el 06/11/2026 a su catálogo de fallos explotados y da de plazo hasta el 20/11/2026 a las agencias federales.
- Las versiones corregidas son 7.3.4-7013 para Gen 7 y 8.2.3-8015 para Gen 8, y el fabricante no ofrece medidas alternativas.
El fallo no permite entrar sin credenciales. Según la descripción de su registro CVE (Common Vulnerabilities and Exposures, el identificador público de vulnerabilidades), un usuario con credenciales válidas para un método de autenticación alternativo puede eludir los controles SAML (Security Assertion Markup Language, el estándar con el que muchas empresas delegan el inicio de sesión en un proveedor de identidad) y, con ello, el MFA (autenticación multifactor) que ese proveedor impone. Dicho de otro modo, una contraseña robada podría bastar para abrir una sesión VPN que la organización creía protegida por un segundo factor. SonicWall clasifica el problema como CWE-308, uso de autenticación de un solo factor donde se esperaban varios.
Qué equipos están afectados y qué versión instalar
El aviso de SonicWall cubre los cortafuegos de séptima y octava generación, tanto los equipos físicos como las instancias virtuales NSv. La versión 7.3.4-7013 para Gen 7 está disponible desde el 20/10/2026, con una compilación posterior, la 7.3.4-7015, publicada el 05/11/2026. La rama 8.2.3-8015 para Gen 8 llegó el 06/11/2026, el mismo día en que el fabricante hizo público el detalle del aviso.
| Plataforma | Versiones afectadas | Versión corregida | Disponible desde |
|---|---|---|---|
| Gen 7 (físico y NSv) | SonicOS 7.3.3-7015 y anteriores | SonicOS 7.3.4-7013 o superior | 20/10/2026 (7.3.4-7015: 05/11/2026) |
| Gen 8 (físico y NSv) | SonicOS 8.2.2-8015 y anteriores | SonicOS 8.2.3-8015 o superior | 06/11/2026 |
CVE-2026-19868 solo afecta a los equipos que tienen el SSL-VPN configurado con autenticación SAML, según el aviso recogido por BleepingComputer. Eso no exime de actualizar al resto: el mismo boletín incluye dos fallos de la interfaz de administración con una puntuación de 8,8 y varios desbordamientos de memoria previos a la autenticación. SonicWall no ofrece medidas alternativas para ninguno de ellos y pide a sus clientes, en palabras del propio aviso, actualizar «as soon as possible» (cuanto antes, traducción propia).
Los cortafuegos Gen 6 y anteriores quedan fuera de esta corrección porque ya no tienen soporte. El fabricante recuerda en su aviso que no publica firmware para esos modelos y recomienda migrar a Gen 8, así que quien todavía use uno con SSL-VPN expuesto a internet no recibirá parche para este boletín.
Para saber qué versión tiene un equipo, la base de conocimiento de SonicWall indica que en SonicOS 7 hay que entrar en la interfaz de gestión, ir a Home > Dashboard | System y consultar el campo «Firmware Version» del apartado General. Si el valor es igual o inferior a 7.3.3-7015 en Gen 7, o a 8.2.2-8015 en Gen 8, el equipo es vulnerable.
Siete fallos en un boletín y uno solo explotado
El aviso SNWLID-2026-0014 reúne cuatro vulnerabilidades de gravedad alta y tres de gravedad media. Las puntuaciones que siguen corresponden a la escala CVSS (Common Vulnerability Scoring System) v3.1 tal como las han recogido los medios especializados que han analizado el boletín, ya que el NVD (la base de datos nacional de vulnerabilidades de Estados Unidos) todavía no ha publicado su propia evaluación.
| CVE | Componente y tipo | CVSS v3.1 | Explotación |
|---|---|---|---|
| CVE-2026-19868 | SSL-VPN: elusión de SAML y MFA | 7,1 (algunas fuentes, 7,5) | Sí, confirmada por la CISA |
| CVE-2026-107154 | Gestión: validación de sesión basada en IP | 8,8 | No consta |
| CVE-2026-107155 | Gestión: política entre dominios permisiva | 8,8 | No consta |
| CVE-2026-82308 | SSL-VPN: desbordamiento de montículo previo a autenticación | 7,5 | No consta |
| CVE-2026-77708 y CVE-2026-77709 | Cliente TACACS+: desbordamientos de pila y montículo | 5,9 | No consta |
| CVE-2026-19703 | NSv: hash de contraseña débil (acceso local) | 5,1 o 5,2 según la fuente | No consta |
Hay una discrepancia en la nota de CVE-2026-19868. El vector asociado al aviso, según GBHackers (red, complejidad alta, privilegios bajos y alcance cambiado), da un 7,1, la cifra que recogen también BleepingComputer y otros medios. Otros agregadores muestran un 7,5, que algunos atribuyen a una puntuación añadida por la CISA en el registro CVE. Ninguna de las dos cambia lo esencial: la complejidad figura como alta, pero la explotación ya está confirmada.
Sobre esa explotación, SonicWall ha sido escueta. Según su aviso, su equipo de respuesta (PSIRT) investigó un informe que apuntaba a un posible aprovechamiento del fallo, pero no ha dado detalles sobre atacantes ni víctimas. La confirmación llega de la CISA, que añadió la vulnerabilidad al KEV (Known Exploited Vulnerabilities, su catálogo de fallos explotados activamente) el 06/11/2026. La ficha marca como «Unknown» (desconocido) su uso en campañas de ransomware. El hallazgo se atribuye a Ryan Harris, de The Electronic Office, según BleepingComputer.
Qué hacer si el SSL-VPN usa SAML
La única corrección oficial es actualizar el firmware. La ficha del KEV pide aplicar las medidas del fabricante y, si no están disponibles, dejar de usar el producto. El plazo del 20/11/2026 obliga solo a las agencias civiles federales de Estados Unidos, pero la CISA recomienda a cualquier organización priorizar las vulnerabilidades de su catálogo, y en este caso la explotación ya ha empezado.
Mientras se programa la ventana de actualización, los administradores pueden revisar qué métodos de inicio de sesión acepta el SSL-VPN además de SAML y si alguno de ellos permite entrar sin segundo factor. También conviene cruzar los registros de sesiones VPN del cortafuegos con los del proveedor de identidad: una conexión que no tenga su evento SAML correspondiente merece una revisión. Ni SonicWall ni la CISA han publicado indicadores de compromiso para este fallo, así que estas comprobaciones son prácticas generales de higiene, no una guía oficial. Si se sospecha que una cuenta se ha usado de forma indebida, lo prudente es cambiar sus credenciales.
El caso recuerda que el MFA solo protege si se aplica en todos los caminos de entrada. Técnicas como el phishing AitM con Evilginx o el robo de sesiones mediante invitaciones de Google Calendar atacan la sesión ya autenticada; este fallo, en cambio, deja abierto un método alternativo que no pasa por el segundo factor. No es la primera vez que la VPN de SonicWall aparece en avisos de seguridad: en 2024 ya se documentaron fallos en sus clientes VPN corporativos.
Preguntas frecuentes
¿Qué versiones de SonicOS corrigen CVE-2026-19868?
SonicOS 7.3.4-7013 o superior en los cortafuegos Gen 7 y SonicOS 8.2.3-8015 o superior en los Gen 8, tanto físicos como virtuales NSv.
¿Afecta a todos los cortafuegos SonicWall con SSL-VPN?
No. Según el aviso, solo a los que tienen el SSL-VPN configurado con autenticación SAML. Los otros seis fallos del boletín afectan a más configuraciones, así que la actualización se recomienda en todos los equipos Gen 7 y Gen 8.
¿Hay alguna mitigación si no puedo actualizar todavía?
SonicWall no ofrece medidas alternativas. La CISA indica que, si no se pueden aplicar las correcciones del fabricante, hay que dejar de usar el producto afectado.
¿Cómo compruebo la versión de firmware de mi SonicWall?
En SonicOS 7 se consulta en Home > Dashboard | System, en el campo «Firmware Version» del apartado General, según la base de conocimiento del fabricante.
Fuentes:
- SonicWall PSIRT: SNWLID-2026-0014
- SonicWall: SonicOS 7.3.4 and 8.2.3 Security Advisory, Gen 7 and Gen 8 Firewalls
- CISA: Known Exploited Vulnerabilities Catalog (CVE-2026-19868)
- NVD: CVE-2026-19868
- SonicWall: How to check the current SonicWall firewall firmware version?
- BleepingComputer: SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks (06/11/2026)
- Daily CyberSecurity: Attackers Exploit SonicWall SonicOS SSLVPN Flaw CVE-2026-19868 in the Wild
- GBHackers: Hackers Exploit SonicWall SSL-VPN Vulnerability to Bypass Multi-Factor Authentication
