CISA đưa lỗ hổng vượt qua MFA trên SonicWall SonicOS vào danh mục KEV

Cơ quan An ninh mạng và Hạ tầng Cơ sở Hoa Kỳ (CISA) đã thêm một lỗ hổng mức độ nghiêm trọng cao ảnh hưởng đến SonicWall SonicOS vào danh mục các lỗ hổng đã biết bị khai thác (KEV). Việc bổ sung này diễn ra sau các báo cáo cho rằng lỗ hổng có thể đã bị lợi dụng trong các cuộc tấn công thực tế.

Chi tiết lỗ hổng chính

Lỗ hổng được theo dõi với mã CVE-2026-19868, điểm CVSS 7.1/7.5, được mô tả là lỗi liên quan đến cơ chế xác thực thông qua các phương thức xác thực thay thế. Theo SonicWall, lỗ hổng trong dịch vụ SSL-VPN của SonicOS có thể cho phép người dùng có thông tin đăng nhập hợp lệ cho một phương thức xác thực thay thế vượt qua các kiểm soát xác thực SAML. Khai thác thành công cũng có thể vượt qua xác thực đa yếu tố (MFA) được SAML áp đặt.

SonicWall cho biết đã điều tra báo cáo về khả năng khai thác lỗ hổng này và kêu gọi khách hàng cập nhật lên phiên bản mới nhất càng sớm càng tốt. Công ty không tiết lộ thêm chi tiết về bản chất cuộc tấn công hay đối tượng đứng sau.

Các lỗ hổng khác được vá

Ngoài lỗ hổng trên, SonicWall cũng đã vá một số lỗi nghiêm trọng khác:

• CVE-2026-107155 (CVSS 8.8): lỗi chính sách cross-domain quá dễ dãi trong giao diện quản trị SonicOS, có thể cho phép kẻ tấn công từ xa chưa xác thực thực hiện các thao tác trái phép trong một số điều kiện nhất định.
• CVE-2026-107154 (CVSS 8.8): lỗi kiểm tra phiên trong giao diện quản trị SonicOS, có thể cho phép kẻ tấn công từ xa chưa xác thực thực hiện các thao tác trái phép trong một số điều kiện nhất định.
• CVE-2026-82308 (CVSS 7.5): lỗi tràn bộ đệm heap trước xác thực trong dịch vụ SSL-VPN của SonicOS, có thể cho phép kẻ tấn công từ xa chưa xác thực gây từ chối dịch vụ ở mức ứng dụng.

Khuyến nghị và bối cảnh

Các cơ quan thuộc nhánh hành pháp dân sự liên bang (FCEB) được khuyến nghị áp dụng bản vá trước ngày 20/11/2026 để bảo vệ mạng lưới trước mối đe dọa này.

Thông tin trên được đưa ra vài ngày sau khi SonicWall công bố chi tiết hai lỗ hổng chưa được vá ảnh hưởng đến các hệ thống Global Management System (GMS) đã hết vòng đời (CVE-2026-109593 và CVE-2026-109594), đồng thời kêu gọi khách hàng nâng cấp lên Network Security Manager (NSM).

Nguồn: The Hacker News