SonicWall MFA-Bypass CVE-2026-19868: SAML wird umgangen

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Ein SonicWall MFA-Bypass steht seit dem 6. November 2026 in der KEV-Liste der US-Cybersicherheitsbehörde CISA. CVE-2026-19868 erlaubt es, die über SAML erzwungene Mehrfaktor-Anmeldung am SSL-VPN zu umgehen. SonicWall bestätigt, dass ein Hinweis auf eine mögliche Ausnutzung geprüft wurde. Einen Workaround gibt es nicht. Nur das Update hilft.

Was passiert ist

SonicWall hat am 6. November das Advisory SNWLID-2026-0014 veröffentlicht und darin sieben Schwachstellen in SonicOS geschlossen. Die heikelste ist CVE-2026-19868 mit CVSS 7.1 und der Einordnung CWE-308 („Use of Single-factor Authentication“). Wer gültige Zugangsdaten für eine alternative Anmeldemethode besitzt, kann damit die SAML-Kontrolle des SSLVPN-Dienstes umgehen. Betroffen ist dann auch die per SAML erzwungene MFA. Laut Hersteller greift die Lücke ausschließlich, wenn SAML für SSLVPN-Logins aktiviert ist.

Zwei weitere Lücken wiegen nach Punktestand sogar schwerer. CVE-2026-107154 (fehlerhafte Session-Validierung, CWE-291) und CVE-2026-107155 (zu weite Cross-Domain-Policy) kommen je auf CVSS 8.8. Beide sitzen im Management-Interface und sollen unter bestimmten Bedingungen unauthentifizierte Operationen erlauben. Beide Vektoren setzen allerdings Nutzerinteraktion voraus (UI:R) – der Angriff läuft über einen angemeldeten Administrator. Dazu kommen drei DoS-Lücken in SSL-VPN und TACACS+ sowie schwaches Passwort-Hashing auf virtuellen Appliances (CVE-2026-19703).

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Betroffene Versionen und Patch

• Gen7 (TZ, NSa, NSsp, NSv): 7.3.3-7015 und älter sind betroffen. Fix ab 7.3.4-7013.
• Gen8 (TZ, NSa, NSv): 8.2.2-8015 und älter sind betroffen. Fix ab 8.2.3-8015.
• Workaround: keiner. CISA hat US-Bundesbehörden eine Frist bis 20. November 2026 gesetzt.

Was der SonicWall MFA-Bypass für dich bedeutet

Diese Lücke ist technisch unspektakulär und organisatorisch brisant. In 25 Jahren IT habe ich dieselbe Konstruktion unzählige Male gesehen: Ein Unternehmen führt SAML mit MFA ein, hakt „VPN ist jetzt mit MFA geschützt“ ab und lässt den alten Anmeldeweg daneben bestehen. Lokale Benutzer, eine LDAP-Anbindung ohne zweiten Faktor, ein RADIUS-Profil für Testzwecke. Der Fallback-Pfad ist die eigentliche Schwachstelle, der CVE macht sie nur sichtbar.

Die Ausnutzung setzt gültige Zugangsdaten voraus und ist laut Vektor nicht trivial. Billig ist sie trotzdem: Zugangsdaten aus Infostealer-Logs kosten wenig, und SonicWall-SSL-VPNs stehen seit der Akira-Welle 2025 im Fokus von Ransomware-Gruppen. Für diese Lücke selbst führt die KEV-Liste eine Ransomware-Nutzung bislang als unbekannt. Siehe die Angriffsversuche auf die SMA1000-Lücke CVE-2026-102255 im Oktober. Wer MFA am VPN als erledigt betrachtet, hat hier keine zweite Verteidigungslinie.

Zwei Bewertungen, ein Fazit

Die Quellen sind sich beim Schweregrad nicht einig. SonicWall gibt CVSS 7.1 mit dem Vektor AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N an, die CISA-Bewertung in der NVD liegt bei 7.5, weil sie keine Vorrechte voraussetzt (PR:N). Für die Praxis ändert das nichts: Die Lücke steht in der KEV-Liste, und das ist das Signal, das zählt.

Was jetzt konkret zu tun ist

1. Version prüfen und patchen. Im Management-Interface die laufende Firmware-Version ablesen und auf 7.3.4-7013 beziehungsweise 8.2.3-8015 aktualisieren. Einen Umweg gibt es nicht.
2. Die Fallback-Anmeldewege aufräumen. Das ist der wichtigere Schritt. Prüfe, welche Authentifizierungsmethoden am SSL-VPN neben SAML noch erlaubt sind, und deaktiviere jede, die ohne zweiten Faktor auskommt. Was nicht gebraucht wird, gehört weg, nicht „vorsichtshalber“ aktiv.
3. Logs gegenprüfen. VPN-Anmeldungen der letzten Wochen danach durchsehen, ob Logins ohne SAML-Weg erfolgt sind – besonders zu ungewöhnlichen Zeiten oder aus fremden Ländern.
4. Management-Interface aus dem Internet nehmen. Wegen der beiden 8.8er-Lücken ist das diese Woche kein Stilpunkt, sondern Pflicht. Administration nur über internes Netz oder dedizierten Zugang.
5. Faktoren härten. Lokale VPN-Konten, die bleiben müssen, bekommen neue Passwörter und einen phishing-resistenten zweiten Faktor. Welche Hardware-Keys dafür taugen, habe ich im Ratgeber zu Hardware-Security-Keys mit FIDO2 zusammengestellt.

Die Reihenfolge ist bewusst gewählt. Das Update schließt den CVE, aber nur Schritt zwei schließt die Lücke in der Architektur – und die überlebt sonst jedes Advisory.

Quellen

• SonicWall PSIRT: SNWLID-2026-0014 (06.11.2026)
• CISA: Known Exploited Vulnerabilities Catalog
• NVD: CVE-2026-19868
• BleepingComputer: SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks