Qué pasó
- SonicWall publicó actualizaciones que corrigen siete vulnerabilidades en los cortafuegos con SonicOS.
- Una de ellas es una evasión de autenticación en el SSL-VPN, identificada como CVE-2026-19868, que ya se habría explotado en ataques.
- La falla permite que un atacante con credenciales válidas de un método de autenticación alternativo esquive los controles de SAML, y potencialmente la autenticación multifactor que SAML imponga.
- Tiene un puntaje CVSS de 7,1 y solo afecta a servicios SSL-VPN de SonicOS configurados con SAML.
- El aviso se publicó el viernes 6 de noviembre de 2026; Ryan Harris, de The Electronic Office, descubrió y reportó el fallo.
Por qué importa
El SSL-VPN es la puerta por la que el personal entra a la red de una organización desde afuera. Si un atacante puede saltarse la autenticación multifactor, la defensa que muchas empresas consideran suficiente deja de serlo en ese punto. La condición, tener credenciales válidas de otro método, limita el riesgo pero no lo elimina, porque las credenciales robadas son el punto de partida de muchos ataques.
SonicWall confirmó que investigó un informe de explotación potencial, sin dar detalles del ataque, y pidió a los usuarios actualizar cuanto antes.
El dato
7 correcciones, 1 explotada. El lote de actualizaciones cubre siete fallas de SonicOS; el aviso pide actualizar por el informe de explotación de CVE-2026-19868.
Contexto
La configuración afectada es específica: SSL-VPN con SAML. Quien no la usa no queda expuesto a esta falla, pero conviene revisar la configuración antes de asumirlo. El aviso no detalla quiénes fueron los atacantes ni cuántos equipos se vieron afectados, por lo que la dimensión real no es pública.
Los dispositivos de borde de red concentran buena parte de los ataques recientes. QNAP confirmó que atacantes entran a sus NAS con una cadena de fallas, una contraseña larguísima abre cuentas sin clave en Linux con OpenSSH, Estados Unidos alertó por ataques a refrigeradores industriales y Chainalysis admitió que una brecha expuso credenciales de sus usuarios.
SAML es un estándar que permite que un servicio externo, como el sistema de identidad de la empresa, confirme quién es el usuario antes de abrirle la VPN. Si el equipo acepta además otros métodos de autenticación, como un directorio local, la combinación puede dejar rutas que no pasan por los controles que el administrador creyó activos. Por eso una revisión útil consiste en dejar habilitado un solo método de acceso remoto y desactivar los demás.
Qué viene
- Los administradores deben instalar la versión corregida de SonicOS y revisar los registros de acceso al SSL-VPN.
- Conviene exigir un segundo factor adicional fuera de SAML para el acceso remoto, si es posible.
- SonicWall podría ampliar el aviso con indicadores de compromiso.
Cierre
La autenticación multifactor reduce el riesgo, pero depende de que nadie encuentre un camino para esquivarla. Esta vez el camino estaba en la combinación de dos métodos de acceso.
Fuentes
- BleepingComputer, “SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks”, 6 de noviembre de 2026, que se apoya en el aviso de seguridad de SonicWall. La página de la empresa no se leyó directamente.
- Imagen de portada: cogdogblog, CC0, vía Wikimedia Commons
Editado por Rodrigo Cornejo. Quiénes escriben las notas
.jpg){kind=link}