SonicWall: Laut Hersteller lässt sich bei SSLVPN mit SAML die Mehrfaktor-Anmeldung umgehen, CISA führt die Lücke als ausgenutzt

Ein VPN-Login, der über den Identitätsanbieter eine zweite Stufe durchlaufen soll, kann bei einer bestimmten SonicWall-Konfiguration mit dem Passwort allein gelingen.

Was SonicWall und heise zur Lücke berichten

Die Sicherheitsmitteilung von SonicWall stammt laut heise vom Freitag, 6. November 2026, heise berichtete am Montag, 9. November. Sie führt sieben Lücken auf. Zu einer erklärt der Hersteller, wiedergegeben von heise, dass sie möglicherweise bereits Ziel von Angriffen wurde. „Möglicherweise“ ist die Formulierung des Herstellers.

Die Lücke trägt die Kennung CVE-2026-19868 und betrifft das SSLVPN von SonicOS. Heise nennt einen CVSS-Wert von 7.1, Einstufung „hoch“. Nutzer mit korrekten Zugangsdaten für eine alternative Anmeldemethode können demnach die SAML-Authentifizierung umgehen. SAML ist laut heise die Anmeldung, die etwa für Single-Sign-on genutzt wird. Weil SAML die Mehrfaktor-Prüfung erzwingt, entfällt mit der Umgehung auch sie.

Anfällig ist eine Firewall laut heise und Hersteller nur, wenn SAML für SSLVPN-Logins aktiviert wurde.

Angreifer brauchen nach Angaben von Help Net Security funktionierende Zugangsdaten. Das Medium ordnet ein, dass in der Praxis ein VPN-Login, der über den Identitätsanbieter mit Mehrfaktor-Anmeldung laufen sollte, mit dem Passwort allein gelingen könne.

Betroffene Geräte und Updates

Laut Help Net Security sind Gen7- und Gen8-Firewalls betroffen, physische wie virtuelle, mit Firmware 7.3.3-7015 und älter sowie 8.2.2-8015 und älter. Gen6 sei nicht gelistet, aber außer Support. Als Update nennt heise für Gen7 die Version 7.3.4-7013, für Gen8 die Fassung 8.2.3-8015 und jeweils neuere.

Eine Umgehungslösung ist laut Help Net Security nicht aufgeführt, der Hersteller dränge zum schnellen Patchen.

Die Updates schließen nach heise sechs weitere Lücken, drei davon als hochriskant eingestuft. Help Net Security zufolge ist keine dieser sechs als ausgenutzt gemeldet.

Was über die Angriffe bekannt ist, und was nicht

Laut Help Net Security hat das SonicWall PSIRT, das Sicherheitsteam des Herstellers, einen Bericht untersucht, der auf eine mögliche Ausnutzung hindeutet, und keine Angriffsdetails geteilt.

Wie viele Organisationen betroffen sind, ist unbekannt. Angriffsdetails hat SonicWall laut Help Net Security nicht geteilt.

Die CISA, die US-Behörde für Cybersicherheit, hat CVE-2026-19868 am 6. November 2026 in den Katalog bekannter ausgenutzter Lücken aufgenommen. Die Frist für US-Bundesbehörden endet am 20. November 2026. Der Katalog führt die Lücke damit als ausgenutzt, der Hersteller selbst spricht von möglicher Ausnutzung.

Help Net Security empfiehlt zweierlei. Zum einen sollen die jüngsten SSL-VPN-Anmeldungen daraufhin geprüft werden, ob sie ohne passende Anmeldung samt Mehrfaktor-Prüfung im Protokoll des Identitätsanbieters gelungen sind. Zum anderen sollen die Zugangsdaten betroffener Konten zurückgesetzt und geprüft werden, worauf zugegriffen wurde.

Was das für einen Betrieb mit Homeoffice-Zugang bedeutet

Ein Betrieb, der Mitarbeiter im Homeoffice über eine SonicWall-Firewall einwählen lässt und die Anmeldung per SAML über einen Identitätsanbieter führt, hat sich auf die zweite Stufe verlassen. Genau diese Konfiguration beschreibt die Meldung.

Aus unserer Sicht beginnt die Prüfung bei einer einfachen Frage: Ist SAML für SSLVPN-Logins aktiv? Die Antwort steht in der Oberfläche der Firewall. Wer sie nicht kennt, fragt den IT-Dienstleister, und zwar schriftlich, damit die Antwort später nachlesbar ist. Danach folgen die Firmware-Version und der Vergleich mit den genannten Ständen. Liegt sie bei 7.3.3-7015 oder 8.2.2-8015 oder darunter und ist SAML aktiv, steht das Update an.

Der Abgleich der Protokolle aus dem Rat von Help Net Security ist die zweite Aufgabe, und sie lässt sich nicht an den Dienstleister abgeben, ohne dass jemand im Betrieb weiß, wer das erledigt. Firewall und Identitätsanbieter führen jeweils eigene Anmeldeprotokolle. Ein Login, der in der Firewall als erfolgreich steht und beim Identitätsanbieter keine Mehrfaktor-Prüfung zeigt, ist der Treffer, nach dem gesucht wird.

Mehrfaktor-Anmeldung ist als Maßnahme etabliert, der Artikel zu den Pflicht-Maßnahmen nach NIS2 nennt sie ausdrücklich. Der Fall zeigt, dass es auf die Stelle ankommt, an der sie erzwungen wird: Hängt sie an einer Einstellung im VPN, ist sie nur so verlässlich wie diese Einstellung.

Unsere Einschätzung

Die Meldung ist unbequem, weil sie ein Gefühl von Sicherheit betrifft. Eine Firewall mit Mehrfaktor-Anmeldung gilt schnell als erledigt, und dann schaut dort niemand mehr hin. Das kann sich ein Betrieb mit einer Zeile im Wartungsplan abgewöhnen: Nach jedem Sicherheitsupdate des Herstellers prüfen, ob die Anmeldung noch so arbeitet, wie sie eingerichtet wurde.

Dazu kommt die Kombination der Aussagen. Der Hersteller schreibt „möglicherweise“, die CISA führt die Lücke als ausgenutzt, über das Ausmaß ist nichts bekannt. Wer auf mehr Klarheit wartet, bevor er patcht, wartet länger als nötig. Das Update liegt vor, die Prüfschritte sind benannt, und die Frage nach SAML lässt sich heute beantworten.

Wer die Firmware nicht selbst pflegt, braucht von seinem Dienstleister eine Antwort auf drei Punkte, und zwar mit Datum: SAML aktiv oder nicht, Firmware-Stand, Protokollabgleich erledigt oder offen.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 12. November 2026):

• heise online: SonicWall warnt vor Angriffen auf SSLVPN von SonicOS
• Help Net Security: Exploited SonicWall SSL-VPN flaw lets attackers bypass SAML-enforced MFA (CVE-2026-19868)
• CISA: Known Exploited Vulnerabilities Catalog

Häufige Fragen

Zuletzt aktualisiert: 12. November 2026. Stand der Recherche: 12. November 2026.