CISA añade al KEV un bypass SAML en SonicWall
CISA añadió CVE-2026-19868 al KEV por explotación conocida. El fallo afecta a SonicOS SSLVPN cuando SAML está habilitado y requiere credenciales válidas de una vía alternativa; SonicWall publica builds corregidas para Gen7 y Gen8.
CISA añadió el 6 de noviembre CVE-2026-19868 al catálogo KEV después de que SonicWall investigara un reporte de posible explotación en SonicOS. El fallo afecta al acceso SSLVPN cuando está configurada la autenticación SAML: no se trata de una vulnerabilidad que permita entrar sin credenciales en cualquier firewall, pero sí de una que rebaja una defensa que muchas organizaciones creen tener duplicada. CISA la marca como explotada; el fabricante describe una investigación de un reporte, sin publicar una cadena de ataque ni indicadores técnicos.
-InfraCrew dice: que una pantalla de MFA siga apareciendo en el diagrama no demuestra que todas las rutas de autenticación pasen por ella.-
El rodeo está en la ruta de autenticación
La descripción de CISA concreta el requisito que importa: el atacante necesita credenciales válidas de un método de autenticación alternativo. Con ellas puede evitar los controles SAML del portal SSLVPN y, si la organización impone la autenticación multifactor dentro de SAML, eludir también esa capa. Esto no equivale a romper la criptografía de SAML ni a obtener por sí solo una contraseña; describe un camino alternativo que no conserva la misma política de acceso.
SAML es el mecanismo de federación que permite a SonicOS delegar la autenticación en un proveedor de identidad. MFA exige más de una prueba de identidad. La distinción operativa es relevante: una política fuerte en el proveedor no compensa una ruta local, secundaria o heredada que acepte otras credenciales con permisos equivalentes. El advisory no publica todavía suficiente detalle para afirmar qué métodos alternativos concretos se usaron en los incidentes ni si todos los despliegues SAML son explotables del mismo modo.
-InfraCrew dice: la puerta puede tener un buen lector de tarjetas y seguir teniendo una llave antigua en el cajón.-
Versiones y corrección
El aviso cubre firewalls Gen7 con SonicOS 7.3.3-7015 o anterior y Gen8 con 8.2.2-8015 o anterior, cuando SSLVPN y SAML forman parte de la configuración afectada. SonicWall identifica como versiones corregidas 7.3.4-7013 para Gen7 y 8.2.3-8015 para Gen8; no conviene intercambiar esas ramas por parecido de numeración. El aviso no ofrece un workaround que equivalga al parche, así que el inventario tiene que cruzar generación, build y método de autenticación, no quedarse en «el firewall está actualizado».
La inclusión en KEV significa que CISA considera conocida la explotación de la vulnerabilidad; no demuestra por sí sola una campaña de ransomware. La fecha del 20 de noviembre es el plazo que CISA fijó para agencias federales civiles de Estados Unidos bajo su directiva obligatoria. Para empresas privadas funciona como señal de riesgo y prioridad, no como una obligación regulatoria universal.
Qué revisar antes de cerrar el cambio
Los equipos que exponen SSLVPN deberían identificar qué firewalls usan SAML, comprobar el build exacto y preparar la actualización correspondiente a cada generación. Conviene probar primero el flujo normal y las rutas de contingencia con el proveedor de identidad: un parche de autenticación que deja fuera a los administradores durante una ventana remota convierte un incidente de seguridad en otro de disponibilidad. La prueba debe confirmar tanto el acceso federado esperado como el rechazo de métodos alternativos que no deban seguir habilitados.
Después de actualizar, revisa los registros de autenticación desde el último periodo conocido como limpio, buscando inicios por métodos alternativos y discrepancias entre SonicOS y el proveedor de identidad. Esa revisión no prueba una intrusión si encuentra un evento aislado, pero puede orientar una investigación; conserva registros antes de rotarlos y escala cualquier acceso que no encaje con usuarios, ubicaciones y horarios habituales. CISA no publica en la ficha del KEV una fecha de inicio ni indicadores de compromiso para este caso.
-InfraCrew dice: en una VPN, «parche instalado» y «ruta de respaldo controlada» deberían aparecer en la misma línea del cambio.-
La acción urgente, por tanto, es concreta: determinar si el acceso SSLVPN usa SAML, comprobar la generación y aplicar el build corregido. Si la autenticación alternativa sigue activa por compatibilidad, hay que entender quién la necesita y qué segundo control la protege antes de conservarla. El nombre del método en la consola importa menos que el trayecto que realmente acepta una sesión.
Diccionario de la Crew
SSLVPN — Acceso remoto a una red privada que transporta tráfico mediante TLS.
SAML — Estándar para intercambiar afirmaciones de autenticación entre un proveedor de identidad y una aplicación.
MFA — Autenticación multifactor; combina dos o más pruebas de identidad distintas.
KEV — Catálogo de CISA de vulnerabilidades con evidencia de explotación conocida.
