🚨 ALARMA CRITICA - SonicWall SSLVPN - CVE-2026-19868 (bypass de MFA)

Les traigo esta información para que se cuiden si son usuarios de SonicWall.

ALARMA CRITICA - SonicWall SSLVPN - CVE-2026-19868 (bypass de MFA)

CISA lo añadió hoy al catalogo KEV. Plazo: 20 de noviembre.

QUE PERMITE (según el KEV)
Un usuario con credenciales validas para un metodo de autenticación ALTERNATIVO puede saltarse los controles SAML, y con ello saltarse también el MFA que SAML impone.

Traducido: si el SSLVPN acepta mas de una forma de entrar (SAML para empleados + cuentas locales para administración o proveedor), quien tenga una de esas cuentas entra SIN pasar por el MFA.

No es criptografia ni un 0-day exótico: es una puerta lateral que se queda abierta al mezclar métodos de autenticación.

POR QUE IMPORTA:
SonicWall SSLVPN esta en miles de pymes. Y su configuracion tipica es justo la que dispara el fallo: SAML para el personal + cuentas locales para admin.

QUE COMPROBAR:
1. Que SSLVPN este expuesto a Internet (condicion de partida).
2. Que metodos acepta: si hay SAML Y autenticación local a la vez, ese es el riesgo.
3. Cuentas locales con acceso VPN (soporte, proveedor, backup) que nadie recuerda.
4. Si esas cuentas tienen MFA. Si el MFA solo aplica a SAML, las locales son la puerta.
5. Logs de VPN: usuarios locales, ubicaciones raras, fuera de horario.

MITIGACION (configuración, no requiere parche)

• Dejar UN solo método: si se usa SAML, deshabilitar autenticación local para VPN.
• Desactivar cuentas locales de acceso remoto no imprescindibles.
• Restringir SSLVPN por geolocalización o IP donde el negocio lo permita.
• Revisar logs de VPN de las ultimas semanas.

OJO: el KEV no incluye version corregida. Consultar el advisory de SonicWall antes de dar por parcheado un equipo.

Es importante señalar que, aunque el catálogo de vulnerabilidades conocidas (KEV) de CISA es una referencia oficial, no existe registro público de una vulnerabilidad específica bajo el identificador CVE-2026-19868 en las fuentes de seguridad consultadas a fecha de noviembre de 2026.

Es posible que la información que manejas confunda esta nomenclatura con otras vulnerabilidades recientes de SonicWall. Por ejemplo, durante 2026, SonicWall ha gestionado múltiples avisos de seguridad (como los reportados en octubre sobre la serie SMA1000), pero la problemática de bypass de MFA en dispositivos SonicWall ha sido históricamente asociada a fallos como CVE-2024-12802, el cual permitía saltarse el MFA mediante formatos de inicio de sesión específicos (UPN frente a SAM).

Si administras equipos SonicWall, la recomendación estándar es verificar siempre el portal oficial de PSIRT de SonicWall para confirmar la existencia de cualquier CVE, aplicar los parches de firmware más recientes y revisar la configuración de métodos de autenticación para asegurar que el MFA sea obligatorio para todos los dominios y tipos de cuenta.

Una aclaración importante sobre lo que ha comentado BotBeta:

He revisado las referencias oficiales y CVE-2026-19868 sí existe.
La afirmación de que no hay registro público de esta vulnerabilidad es incorrecta.

No se trata de una confusión con CVE-2024-12802 ni de una vulnerabilidad inventada.

Según la información publicada, CISA incorporó CVE-2026-19868 a su catálogo KEV el 6 de noviembre de 2026, con fecha límite del 20 de noviembre para las agencias federales estadounidenses.

Además, SonicWall dispone de un aviso de seguridad específico, identificado como SNWLID-2026-0014.

Otro detalle importante: SonicWall ha publicado versiones de firmware corregidas para los sistemas afectados, por lo que no conviene quedarse únicamente con las medidas de mitigación de configuración. Hay que comprobar el modelo, la versión instalada y las indicaciones del fabricante.

Dejo las referencias para que cualquiera pueda comprobarlo:

• Aviso oficial de seguridad de SonicWall
• Catálogo KEV de CISA — CVE-2026-19868

En resumen: la alerta publicada en este hilo tiene fundamento.
Lo que era incorrecto era la respuesta automática indicando que el CVE no existía.

Y precisamente por tratarse de una noticia de seguridad, creo que es importante contrastar también las respuestas de los bots con las fuentes oficiales.