CISA nimmt SonicWall-MFA-Umgehungs-Schwachstelle in Liste der ausgenutzten Schwachstellen auf

Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat eine kritische SonicWall-SonicOS-Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Diese Maßnahme folgt Berichten, wonach die Sicherheitslücke, die es Angreifern ermöglicht, die Multi-Faktor-Authentifizierung zu umgehen, in realen Angriffen aktiv ausgenutzt wird.

Was passiert ist

Die CISA identifizierte CVE-2026-19868 als Problem mit hohem Schweregrad und einem CVSS-Score zwischen 7,1 und 7,5. Die Behörde erklärte, dass Hinweise darauf vorliegen, dass diese Schwachstelle in aktiven Kampagnen eingesetzt wurde. Dies veranlasste die Aufnahme in den Katalog, um für Bundesbehörden eine schnelle Patchung durchzusetzen. SonicWall bestätigte, einen Bericht über eine mögliche Ausnutzung untersucht zu haben, gab jedoch keine Details zu den Akteuren oder der spezifischen Art der Angriffe frei.

Neben der MFA-Umgehung patchte SonicWall in derselben Warnmeldung mehrere weitere Hochrisiko-Schwachstellen. Dazu gehören CVE-2026-107155 und CVE-2026-107154, beide mit einem CVSS-Score von 8,8, die das Management-Interface betreffen. Eine weitere Schwachstelle, CVE-2026-82308, betrifft einen Heap-basierten Pufferüberlauf vor der Authentifizierung im SSL-VPN-Dienst, der zu Denial-of-Service-Zuständen führen kann. Agenturen des Federal Civilian Executive Branch wurden angewiesen, diese Patches bis zum 20. November 2026 einzuspielen.

Diese Ankündigung erfolgt kurz nachdem SonicWall zwei ungepatchte Schwachstellen in seinem abgekündigten Global Management System behoben hatte. Diese Fehler, CVE-2026-109593 und CVE-2026-109594, bleiben für Legacy-Systeme ungepatcht; der Anbieter rät Kunden dringend zur Migration auf die Plattform Network Security Manager.

Wie es funktioniert

Die Kernschwachstelle, CVE-2026-19868, ist ein Fehler bei der Durchsetzung der Authentifizierung im SonicOS-SSL-VPN-Dienst. Sie betrifft speziell Umgebungen, die SAML für Single Sign-On und Multi-Faktor-Authentifizierung nutzen. Der Fehler ermöglicht es einem Benutzer, der gültige Zugangsdaten für eine alternative Authentifizierungsmethode besitzt, die SAML-Kontrollen vollständig zu umgehen.

In der Praxis bedeutet dies: Wenn eine Organisation MFA über SAML erzwingt, aber auch eine andere Login-Methode zulässt, kann ein Angreifer diesen alternativen Weg nutzen, um die MFA-Anforderung zu überspringen. Diese Designlücke zeigt, dass starke Authentifizierungsfaktoren keinen Schutz garantieren, wenn das System sie nicht an allen Einstiegspunkten durchsetzt. Die anderen gepatchten Schwachstellen betreffen nachlässige Cross-Domain-Richtlinien und Fehler bei der Sitzungsvalidierung, die es Remote-Angreifern ohne Authentifizierung unter bestimmten Bedingungen ermöglichen könnten, unbefugte Operationen am Management-Interface durchzuführen.

Wichtige Details

• Primäre Schwachstelle: CVE-2026-19868 ermöglicht die Umgehung der per SAML erzwungenen MFA über alternative Authentifizierungsmethoden.
• Schweregrad: Der CVSS-Score liegt zwischen 7,1 und 7,5; die CISA stuft die Schwachstelle als aktiv ausgenutzt ein.
• Weitere Fehler: Zwei Schwachstellen im Management-Interface (CVE-2026-107155, CVE-2026-107154) mit Score 8,8 sowie eine DoS-Schwachstelle (CVE-2026-82308).
• Frist: Agenturen des Federal Civilian Executive Branch müssen die Patches bis zum 20. November 2026 einspielen.
• Legacy-Systeme: Zwei ungepatchte Fehler verbleiben in den abgekündigten Produkten des Global Management System.
• Reaktion des Anbieters: SonicWall fordert sofortige Updates, hat aber keine Identitäten der Angreifer oder spezifische Exploit-Techniken offengelegt.

Warum das wichtig ist

Für Engineering-Teams und IT-Leiter verdeutlicht dieser Vorfall die Fragilität gemischter Authentifizierungsarchitekturen. Viele Organisationen setzen SAML-basierte MFA auf bestehenden Directory-Services auf, in der Annahme, dies biete einheitlichen Schutz. Wenn die zugrunde liegende Plattform jedoch alternative Login-Pfade zulässt, die dieselben MFA-Prüfungen nicht auslösen, wird die Sicherheitskontrolle effektiv ausgehebelt. Dies ist kein bloßer Konfigurationsfehler, sondern ein logischer Fehler darin, wie der VPN-Dienst Authentifizierungsrichtlinien durchsetzt.

Die Aufnahme dieser Schwachstelle in den CISA-Katalog Known Exploited Vulnerabilities erhöht den Druck für die Behebung. Im Gegensatz zu Standard-Warnmeldungen führen KEV-Einträge oft zu verbindlichen Compliance-Maßnahmen für Regierungsbeauftragte und Betreiber kritischer Infrastrukturen. Das kurze Zeitfenster bis zur Frist am 20. November für Bundesbehörden deutet darauf hin, dass im privaten Sektor bereits weitreichende Scanning- und Exploit-Versuche stattfinden dürften.

Darüber hinaus erinnert die Persistenz ungepatchter Schwachstellen in abgekündigten Produkten wie dem Global Management System an die Risiken technischer Schulden. Organisationen, die sich auf Legacy-Management-Ebenen verlassen, können sich ähnlichen Authentifizierungs- oder Management-Interface-Fehlern ausgesetzt sehen, ohne einen klaren Pfad zur Behebung zu haben, außer einer vollständigen Plattformmigration.

Was Sie tun können

• Aktualisieren Sie die SonicWall-SonicOS-Firmware sofort auf die neueste Version, um CVE-2026-19868 und damit verbundene Fehler zu beheben.
• Prüfen Sie Ihre SSL-VPN-Konfiguration, um sicherzustellen, dass keine alternativen Authentifizierungsmethoden die SAML-MFA-Anforderungen umgehen.
• Stellen Sie sicher, dass der Zugriff auf das Management-Interface auf vertrauenswürdige IP-Bereiche beschränkt ist, um Risiken durch CVE-2026-107155 und CVE-2026-107154 zu mindern.
• Planen Sie die Migration weg von Instanzen des abgekündigten Global Management System hin zum Network Security Manager.
• Überwachen Sie Netzwerkprotokolle auf ungewöhnliche VPN-Login-Muster, die auf versuchte Ausnutzungen alternativer Auth-Pfade hindeuten könnten.
• Bestätigen Sie die Anwendung der Patches vor dem 20. November 2026, falls Ihre Organisation unter föderale Compliance-Vorgaben fällt.