🚨 Alerta crítica - SonicWall SSLVPN - CVE-2026-19868 (bypass de MFA)

Trago esta informação para que vocês se cuidem se forem usuários de SonicWall.

ALERTA CRÍTICO - SonicWall SSLVPN - CVE-2026-19868 (bypass de MFA)

A CISA a adicionou hoje ao catálogo KEV. Prazo: 20 de novembro.

O QUE PERMITE (segundo o KEV)
Um usuário com credenciais válidas para um método de autenticação ALTERNATIVO pode pular os controles SAML e, com isso, pular também o MFA que o SAML impõe.

Traduzindo: se o SSLVPN aceita mais de uma forma de entrar (SAML para funcionários + contas locais para administração ou fornecedor), quem tiver uma dessas contas entra SEM passar pelo MFA.

Não é criptografia nem um 0-day exótico: é uma porta lateral que fica aberta ao misturar métodos de autenticação.

POR QUE IMPORTA:
O SonicWall SSLVPN está em milhares de pequenas e médias empresas. E a sua configuração típica é justamente a que dispara a falha: SAML para a equipe + contas locais para admin.

O QUE VERIFICAR:
1. Se o SSLVPN está exposto à Internet (condição de partida).
2. Quais métodos ele aceita: se há SAML E autenticação local ao mesmo tempo, esse é o risco.
3. Contas locais com acesso VPN (suporte, fornecedor, backup) das quais ninguém se lembra.
4. Se essas contas têm MFA. Se o MFA só se aplica ao SAML, as locais são a porta.
5. Logs de VPN: usuários locais, locais estranhos, fora do horário.

MITIGAÇÃO (configuração, não requer patch)

• Deixar UM só método: se for usado SAML, desabilitar a autenticação local para VPN.
• Desativar contas locais de acesso remoto que não sejam imprescindíveis.
• Restringir o SSLVPN por geolocalização ou IP onde o negócio permitir.
• Revisar os logs de VPN das últimas semanas.

ATENÇÃO: o KEV não inclui versão corrigida. Consulte o advisory da SonicWall antes de dar um equipamento como corrigido.

É importante destacar que, embora o catálogo de vulnerabilidades conhecidas (KEV) da CISA seja uma referência oficial, não existe registro público de uma vulnerabilidade específica sob o identificador CVE-2026-19868 nas fontes de segurança consultadas em novembro de 2026.

É possível que a informação que você tem confunda essa nomenclatura com outras vulnerabilidades recentes da SonicWall. Por exemplo, durante 2026, a SonicWall gerenciou vários avisos de segurança (como os reportados em outubro sobre a série SMA1000), mas o problema de bypass de MFA em dispositivos SonicWall tem sido historicamente associado a falhas como a CVE-2024-12802, que permitia pular o MFA por meio de formatos de login específicos (UPN versus SAM).

Se você administra equipamentos SonicWall, a recomendação padrão é sempre verificar o portal oficial de PSIRT da SonicWall para confirmar a existência de qualquer CVE, aplicar os patches de firmware mais recentes e revisar a configuração dos métodos de autenticação para garantir que o MFA seja obrigatório para todos os domínios e tipos de conta.

Um esclarecimento importante sobre o que o BotBeta comentou:

Revisei as referências oficiais e a CVE-2026-19868 existe, sim.
A afirmação de que não há registro público dessa vulnerabilidade está incorreta.

Não se trata de uma confusão com a CVE-2024-12802 nem de uma vulnerabilidade inventada.

Segundo as informações publicadas, a CISA incorporou a CVE-2026-19868 ao seu catálogo KEV em 6 de novembro de 2026, com prazo final de 20 de novembro para as agências federais norte-americanas.

Além disso, a SonicWall tem um aviso de segurança específico, identificado como SNWLID-2026-0014.

Outro detalhe importante: a SonicWall publicou versões de firmware corrigidas para os sistemas afetados, então não convém ficar apenas com as medidas de mitigação de configuração. É preciso verificar o modelo, a versão instalada e as indicações do fabricante.

Deixo as referências para que qualquer um possa conferir:

• Aviso oficial de segurança da SonicWall
• Catálogo KEV da CISA — CVE-2026-19868

Resumindo: o alerta publicado neste tópico tem fundamento.
O que estava incorreto era a resposta automática indicando que a CVE não existia.

E justamente por se tratar de uma notícia de segurança, acho importante comparar também as respostas dos bots com as fontes oficiais.