CISA añade una vulnerabilidad de omisión de MFA en SonicWall a su lista de fallos explotados

La Agencia de Seguridad Cibernética y de Infraestructuras de Estados Unidos (CISA) ha añadido una vulnerabilidad crítica de SonicWall SonicOS a su catálogo de Vulnerabilidades Conocidas Explotadas. Esta medida responde a los informes que indican que este fallo, que permite a los atacantes eludir la autenticación multifactor, está siendo activamente explotado en ataques reales.

Qué ha ocurrido

La CISA identificó CVE-2026-19868 como un problema de alta severidad con una puntuación CVSS entre 7.1 y 7.5. La agencia declaró que existen indicios de que esta vulnerabilidad se ha utilizado en campañas activas, lo que motivó su inclusión en el catálogo para exigir el parcheo rápido por parte de las agencias federales. SonicWall confirmó que investigó un informe sobre una posible explotación, aunque no reveló detalles sobre los actores de amenazas ni la naturaleza específica de los ataques.

Además de la omisión de MFA, SonicWall parcheó varias otras vulnerabilidades de alta severidad en el mismo aviso. Estas incluyen CVE-2026-107155 y CVE-2026-107154, ambas con puntuaciones CVSS de 8.8, que afectan a la interfaz de gestión. Otro fallo, CVE-2026-82308, implica un desbordamiento de búfer basado en montón pre-autenticación en el servicio SSL-VPN que podría provocar condiciones de denegación de servicio. Se ha ordenado a las agencias del Ramo Civil Ejecutivo Federal aplicar estos parches antes del 20 de noviembre de 2026.

Este anuncio llega poco después de que SonicWall abordara dos vulnerabilidades sin parchear en su Global Management System, un producto obsoleto. Dichos fallos, CVE-2026-109593 y CVE-2026-109594, permanecen sin parchear en sistemas heredados, mientras que el proveedor insta a los clientes a migrar a la plataforma Network Security Manager.

Cómo funciona

La vulnerabilidad principal, CVE-2026-19868, es un error en la aplicación de la autenticación dentro del servicio SSL-VPN de SonicOS. Afecta específicamente a entornos que utilizan SAML para el inicio de sesión único y la autenticación multifactor. El fallo permite que un usuario que posee credenciales válidas para un método de autenticación alternativo eluda por completo los controles de SAML.

En términos prácticos, si una organización impone MFA mediante SAML pero también permite otro método de inicio de sesión, un atacante puede aprovechar esa ruta alternativa para saltarse el requisito de MFA. Este vacío de diseño significa que la presencia de factores de autenticación fuertes no garantiza protección si el sistema no los aplica en todos los puntos de entrada. Las otras vulnerabilidades parcheadas implican políticas de dominio cruzado permisivas y errores de validación de sesiones, lo que podría permitir a atacantes remotos no autenticados realizar operaciones no autorizadas en la interfaz de gestión bajo condiciones específicas.

Detalles clave

• Vulnerabilidad Principal: CVE-2026-19868 permite eludir la MFA impuesta por SAML mediante métodos de autenticación alternativos.
• Severidad: La puntuación CVSS oscila entre 7.1 y 7.5; la CISA la clasifica como activamente explotada.
• Fallos Adicionales: Dos vulnerabilidades de la interfaz de gestión (CVE-2026-107155, CVE-2026-107154) con puntuación 8.8, además de un fallo DoS (CVE-2026-82308).
• Fecha Límite: Las agencias del Ramo Civil Ejecutivo Federal deben parchear antes del 20 de noviembre de 2026.
• Sistemas Heredados: Dos fallos sin parchear permanecen en productos Global Management System obsoletos.
• Respuesta del Proveedor: SonicWall insta a actualizaciones inmediatas, pero no ha revelado identidades de atacantes ni técnicas de explotación específicas.

Por qué importa

Para los equipos de ingeniería y los líderes de TI, este incidente destaca la fragilidad de las arquitecturas de autenticación mixtas. Muchas organizaciones superponen la MFA basada en SAML sobre servicios de directorio existentes, asumiendo que esto proporciona una protección uniforme. Sin embargo, si la plataforma subyacente permite rutas de inicio de sesión alternativas que no activan las mismas comprobaciones de MFA, el control de seguridad queda efectivamente anulado. Esto no es solo un error de configuración, sino un defecto lógico en cómo el servicio VPN aplica las políticas de autenticación.

La inclusión de este fallo en el catálogo de Vulnerabilidades Conocidas Explotadas de la CISA eleva la apuesta para la remediación. A diferencia de los avisos estándar, las listas KEV suelen impulsar acciones de cumplimiento obligatorias para contratistas gubernamentales y proveedores de infraestructura crítica. La breve ventana hasta la fecha límite del 20 de noviembre para las agencias federales sugiere que los intentos generalizados de escaneo y explotación probablemente ya estén en marcha también en el sector privado.

Además, la persistencia de vulnerabilidades sin parchear en productos obsoletos como el Global Management System sirve como recordatorio de los riesgos de deuda técnica. Las organizaciones que dependen de planos de gestión heredados pueden encontrarse expuestas a fallos similares de autenticación o de interfaz de gestión sin una vía clara de remediación más allá de la migración completa de la plataforma.

Qué puedes hacer

• Actualiza el firmware de SonicWall SonicOS a la última versión inmediatamente para abordar CVE-2026-19868 y los fallos asociados.
• Audita tu configuración de SSL-VPN para asegurar que ningún método de autenticación alternativo elude los requisitos de MFA de SAML.
• Verifica que el acceso a la interfaz de gestión esté restringido a rangos de IP confiables para mitigar los riesgos de CVE-2026-107155 y CVE-2026-107154.
• Planifica la migración lejos de las instancias obsoletas de Global Management System hacia Network Security Manager.
• Monitoriza los registros de red para detectar patrones inusuales de inicio de sesión en VPN que puedan indicar intentos de explotación de rutas de autenticación alternativas.
• Confirma la aplicación de parches antes del 20 de noviembre de 2026 si tu organización está sujeta a mandatos de cumplimiento federal.