Chyba vo VPN SonicWall môže obísť aj MFA. Čo majú firmy preveriť?

Čo je potvrdené a čo ešte nevieme

SonicWall zverejnil 6. novembra 2026 oznámenie SNWLID-2026-0014 so siedmimi zraniteľnosťami SonicOS. Pre vzdialený prístup je zásadná CVE-2026-19868. Výrobca uvádza preverenie hlásenia o možnom zneužití. Americká CISA v ten istý deň zaradila chybu do katalógu KEV na základe dôkazov o aktívnom zneužívaní. Ide teda o viac než teoretické riziko. [1] [2]

Presný dátum prvého útoku, jeho obete ani rozsah kampane tieto oznámenia neuvádzajú. Nepotvrdzujú ani napadnutie slovenskej alebo českej firmy. Nezávislé spravodajstvo SecurityWeek o oprave informovalo 7. novembra 2026. Dátum upozornenia preto nemožno zamieňať za dátum samotného útoku. [3]

Ako môže zlyhať prihlasovanie cez SAML

SAML sa používa na prepojenie VPN s poskytovateľom firemnej identity. Používateľ sa prihlási cez centrálnu službu, ktorá môže vyžadovať aj ďalší faktor. Chyba je vo vynucovaní týchto pravidiel na strane SonicOS SSL VPN. Človek s platnými prihlasovacími údajmi pre alternatívnu autentifikačnú metódu môže obísť SAML kontroly a potenciálne aj MFA vynucované cez SAML. [1]

Nejde o univerzálne prelomenie MFA ani o prístup bez akýchkoľvek údajov. Výrobca výslovne obmedzuje túto zraniteľnosť na SSL VPN so zapnutým SAML prihlasovaním. Firemný správca preto potrebuje preveriť konkrétnu konfiguráciu. Samotné tvrdenie „máme MFA“ nie je dostatočná odpoveď na otázku, či je táto prístupová cesta bezpečná. [1]

Ktoré zariadenia a verzie treba skontrolovať

Oznámenie zahŕňa podporované modely hardvérových firewallov Gen7 a Gen8 aj virtuálne zariadenia NSv. Presný model porovnajte so zoznamom výrobcu; označenie generácie samo osebe nenahrádza inventúru. Pre uvedené platformy platí: [1]

• Gen7: zasiahnutý je SonicOS 7.3.3-7015 a starší; oprava je vo verzii 7.3.4-7013 a novšej.
• Gen8: zasiahnutý je SonicOS 8.2.2-8015 a starší; oprava je vo verzii 8.2.3-8015 a novšej.

Pre CVE-2026-19868 výrobca uvádza závažnosť CVSS 7,1. Súhrnné skóre oznámenia 8,8 patrí iným chybám v rovnakom balíku. SonicWall neuvádza náhradné riešenie opravy. Ak SAML nepoužívate, táto konkrétna chyba sa vás podľa výrobcu netýka; stále však treba vyhodnotiť ostatné zraniteľnosti z oznámenia. [1]

Ako overiť vlastné riziko

Nasledujúce kroky sú praktické odporúčania pre správu firemného IT, nie opis potvrdeného priebehu útokov. Začnite tam, kde sa VPN skutočne prevádzkuje. Zahrňte pobočky, cloudové NSv, záložné zariadenia aj prístupy spravované externým dodávateľom.

1. Zaznamenajte model a celé číslo zostavy. Údaj „SonicOS 7“ nestačí. Vysvetlite, kto zariadenie spravuje a kto vie bezodkladne nasadiť opravu.
2. Overte konfiguráciu SSL VPN. Zistite, či je služba zapnutá, odkiaľ je dostupná a či používa SAML. Nezamieňajte SSL VPN s iným typom tunela.
3. Skontrolujte alternatívne identity. Prejdite lokálne účty, záložné metódy prihlasovania, staré servisné prístupy a členstvo v skupinách s oprávnením na VPN.
4. Zmapujte dosah prihláseného účtu. Vie sa dostať iba k potrebnej aplikácii, alebo aj k správe serverov a záloh? Podľa toho určte prioritu kontroly ďalších systémov.

Aktualizáciu spojte s kontrolou výsledku

Pre konkrétny model vyberte opravenú podporovanú verziu a dodržte postup výrobcu. Pred zásahom bezpečne uložte konfiguráciu, pripravte prístup ku konzole a dohodnite servisné okno. Konfigurácia môže obsahovať citlivé údaje, preto nepatrí do voľne dostupného priečinka. Pri dvojici zariadení s vysokou dostupnosťou overte kompatibilitu a poradie aktualizácie.

Po zmene skontrolujte číslo spustenej zostavy na každom uzle. Otestujte bežné prihlásenie, vyžadovanie MFA aj oprávnenia používateľa po pripojení. Nestačí úspešné nahratie firmvéru do úložiska. Ak opravu neviete nasadiť okamžite, podľa potrieb prevádzky zvážte obmedzenie alebo dočasné vypnutie zasiahnutej služby. To je obmedzenie expozície, nie výrobcom potvrdená náhrada aktualizácie.

Čo hľadať v záznamoch prístupov

Porovnajte úspešné VPN prihlásenia so záznamami poskytovateľa identity a overenia MFA. Chýbajúca zodpovedajúca udalosť je dôvod na preverenie, sama osebe však útok nedokazuje. Rozdiel môže spôsobovať aj časový posun, neúplný zber alebo legitímna alternatívna metóda. Kontrolujte nezvyčajné zdrojové adresy, časy, použité účty a následné prístupy k interným službám.

Záznamy uchovajte aj mimo firewallu a zjednoťte časové pásma pri ich porovnávaní. Pri podozrení na neoprávnený prístup obmedzte dotknutý účet, ukončite jeho relácie a z dôveryhodného prostredia zmeňte relevantné prihlasovacie údaje. Skontrolujte zmeny konfigurácie a aktivitu v dosiahnuteľných systémoch. Aktualizácia zabráni ďalšiemu zneužitiu chyby, sama však nevysvetlí ani neodstráni následky predchádzajúceho prieniku.

Záloha a náhradný prístup nesmú obnoviť rovnaké riziko

Overte obnoviteľnosť konfigurácie a dostupnosť bezpečného núdzového prístupu pre správcu. Záložné zariadenie s rovnakým starým firmvérom nie je bezpečný cieľ pre prepnutie prevádzky. Pri obnove porovnajte pravidlá siete, účty a autentifikačné nastavenia s overeným stavom. Ak existujú známky kompromitácie, postup obnovy musí zahŕňať aj preverenie systémov, ku ktorým VPN umožnila prístup.

Päť priorít pre firmu

• Overiť model, zostavu a používanie SAML v SSL VPN.
• Nasadiť opravený firmvér na všetky relevantné uzly.
• Odobrať nepotrebné VPN účty a obmedziť ich sieťové oprávnenia.
• Porovnať VPN prihlásenia s udalosťami identity a uchovať záznamy.
• Otestovať prihlásenie, MFA aj bezpečnú obnovu prevádzky.