HD Doctor Logo

SonicWall SSL-VPN: falha explorada contorna o MFA do login SAML

Por Equipe Técnica HD Doctor

Resposta direta

Se a sua empresa usa firewall SonicWall com SSL-VPN e login SAML, atualize o SonicOS para 7.3.4-7013 (Gen7) ou 8.2.3-8015 (Gen8): a CVE-2026-19868 permite que alguém com uma credencial válida de outro método de autenticação entre sem passar pelo SAML e pelo MFA, e a SonicWall investiga relato de exploração. Antes de atualizar, exporte os logs da VPN; depois, revise quem entrou, troque as senhas das contas que acessam a VPN e confirme que existe cópia de backup fora do alcance da rede interna.

O que a SonicWall publicou e por que isso chega aos seus dados

Em 06/11/2026, a SonicWall publicou o aviso SNWLID-2026-0014, com sete vulnerabilidades no SonicOS, o sistema dos seus firewalls. A que exige pressa é a CVE-2026-19868, na SSL-VPN: segundo a SonicWall, um usuário com credenciais válidas de um método de autenticação alternativo pode contornar os controles de autenticação SAML e, com isso, também o MFA exigido pelo SAML. A falha só afeta a SSL-VPN quando o login por SAML está habilitado. A empresa informa que investigou um relato de possível exploração e pede atualização o quanto antes. No mesmo dia, a CISA incluiu a falha no catálogo KEV, de vulnerabilidades exploradas, e deu aos órgãos federais americanos prazo até 20/11/2026 para corrigir, segundo a BleepingComputer. Fonte: https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014. O aviso não detalha quais são os métodos alternativos nem como a exploração foi feita. O ponto prático é este: se a empresa confia no MFA do SAML para barrar uma senha vazada ou adivinhada, essa barreira pode não ter funcionado enquanto o firewall estava desatualizado. O mesmo aviso corrige duas falhas de nota 8.8 na interface de gerenciamento, que em condições específicas podem permitir operações não autorizadas sem login, além de estouros de memória na SSL-VPN e no cliente TACACS+ que podem derrubar o serviço, e um armazenamento fraco de senha nos appliances virtuais NSv. Não há contorno: a correção é atualizar. Estão afetados os firewalls Gen7 (linhas TZ, NSa, NSsp e NSv) com SonicOS 7.3.3-7015 ou anterior, corrigidos na 7.3.4-7013, e os Gen8 (TZ, NSa e NSv) com 8.2.2-8015 ou anterior, corrigidos na 8.2.3-8015. Confira no aviso da SonicWall se o seu modelo está na lista. Nem a SonicWall nem a CISA relacionam esta falha a ransomware até 08/11. Ainda assim, uma VPN que aceita login sem o segundo fator é uma porta para a rede interna, e é na rede interna que ficam o servidor de arquivos, o NAS, o hipervisor, o banco de dados e o servidor de backup. Em incidentes com acesso remoto indevido, apagar ou cifrar as cópias de backup costuma vir antes do ataque aos dados de produção. Por isso, além de atualizar o firewall, vale confirmar agora que existe uma cópia que não pode ser alterada por quem entrou pela VPN. Atualizar não desfaz um acesso anterior: uma senha usada por um invasor continua válida até ser trocada. Se depois de um incidente discos, RAID, VMs ou bancos ficarem inacessíveis, a HD Doctor pode avaliar a recuperação conforme o material preservado. Essa avaliação não substitui a resposta a incidentes, não certifica a segurança do ambiente e não garante recuperar conteúdo perdido.

Três atalhos que deixam a rede exposta

  1. 1.
    Contar com o MFA do SAML como proteção suficiente. Enquanto o SonicOS não estiver na versão corrigida, o MFA exigido pelo SAML pode ser contornado por quem tem credencial de outro método. Atualize primeiro e só então volte a confiar nessa barreira.
  2. 2.
    Atualizar e reiniciar sem exportar os logs da VPN. A atualização reinicia o firewall, e logs guardados só no equipamento podem se perder. Exporte antes os registros de login da SSL-VPN e de administração, para poder conferir depois quem entrou e quando.
  3. 3.
    Manter o único backup acessível pela rede interna. Se alguém entrou pela VPN, tudo o que a rede interna alcança está ao alcance dele, inclusive o NAS e o servidor de backup. Garanta ao menos uma cópia offline ou imutável antes de qualquer outra mudança grande.

Cinco passos para fechar a falha e proteger os dados

Roteiro editorial para TI, segurança e o responsável pelo firewall. Não rode exploits públicos para testar se o seu equipamento é vulnerável.

  1. 1

    Liste os firewalls e confira se usam SAML na SSL-VPN

    Anote modelo, geração e versão do SonicOS de cada firewall, físico ou virtual. Verifique se a SSL-VPN usa login SAML: é a condição para a CVE-2026-19868. As outras falhas do aviso valem mesmo sem SAML.

  2. 2

    Exporte os logs antes de mexer no equipamento

    Salve fora do firewall os registros de login da SSL-VPN, os de administração e a configuração atual. Se houver SIEM ou servidor syslog, confirme que os eventos dos últimos meses estão lá.

  3. 3

    Atualize o SonicOS para a versão corrigida

    Gen7: 7.3.4-7013 ou posterior. Gen8: 8.2.3-8015 ou posterior. O aviso não traz contorno. Enquanto a janela de manutenção não chega, restringir a interface de gerenciamento a redes confiáveis reduz a exposição às outras falhas, mas não substitui a atualização.

  4. 4

    Revise os acessos e troque as senhas da VPN

    Procure logins na SSL-VPN que não passaram pelo SAML, horários e origens fora do padrão e sessões que chegaram a servidores, NAS ou console de backup. Troque as senhas das contas locais e de diretório que podem entrar na VPN, a começar pelas administrativas.

  5. 5

    Confirme uma cópia de backup fora do alcance da rede

    Verifique se existe cópia offline, imutável ou em outro local, com credenciais diferentes das do domínio. Faça uma restauração de teste de um servidor ou banco importante para confirmar que a cópia abre.

Perguntas sobre a falha do SonicWall e a proteção dos dados

Não uso SAML na SSL-VPN. Preciso atualizar mesmo assim?

Sim. A CVE-2026-19868 depende do SAML, mas o mesmo aviso corrige falhas na interface de gerenciamento, na SSL-VPN e no cliente TACACS+ que não dependem dele. A SonicWall recomenda atualizar todos os equipamentos afetados.

A falha está sendo usada por ransomware?

Até 08/11, nem a SonicWall nem a CISA associam a CVE-2026-19868 a ransomware. A SonicWall diz que investigou um relato de possível exploração, e a CISA a incluiu no catálogo de falhas exploradas. Trate a VPN desatualizada como risco de acesso indevido à rede interna.

Já atualizei. Ainda preciso fazer algo?

Sim. A atualização fecha a falha daqui para frente, mas não desfaz um acesso que já ocorreu. Revise os logs do período em que o firewall estava vulnerável, troque as senhas das contas da VPN e confirme que o backup está fora do alcance da rede.

Quando faz sentido pedir recuperação profissional de dados?

Quando, após um incidente, discos, volumes, RAID, VMs ou bancos ficarem inacessíveis ou o backup não restaurar. Preserve as mídias, não reinicialize nem reconstrua volumes por conta própria e registre o que já foi tentado. Para suspeita de acesso sem dano aos dados, a prioridade é a resposta a incidentes.

Algum servidor, NAS ou backup ficou inacessível?

Preserve as mídias e informe o equipamento, o sintoma e as tentativas já realizadas.

Próximas leituras