Уязвимость CVE-2026-19868 затрагивает службу SSL-VPN в SonicOS. SonicWall описала её как ошибку применения правил аутентификации при использовании альтернативных методов входа. Оценка серьёзности в опубликованных данных указана необычно: «7,1 / 7,5» по шкале CVSS.
Согласно пятничному уведомлению SonicWall, пользователь с действительными данными для альтернативного способа аутентификации при определённых условиях может обойти проверки SAML. Если многофакторная аутентификация настроена через SAML, атака способна обойти и её.
Компания сообщила, что расследует сведения о возможной эксплуатации CVE-2026-19868. Подробностей о предполагаемой атаке и её организаторах SonicWall не раскрыла. Клиентам рекомендовано как можно скорее установить последнюю версию программного обеспечения.
В том же обновлении SonicWall исправила ещё три уязвимости высокой степени серьёзности. CVE-2026-107155 получила оценку CVSS 8,8: ошибка в слишком разрешительной политике междоменных запросов затрагивает интерфейс управления SonicOS. При определённых условиях удалённый злоумышленник без аутентификации мог выполнять несанкционированные операции.
CVE-2026-107154 также оценивается в 8,8 балла. Это уязвимость проверки сеансов в интерфейсе управления SonicOS; при определённых условиях она тоже могла позволить удалённому неавторизованному атакующему выполнять операции без разрешения.
Третья ошибка, CVE-2026-82308, находится в службе SonicOS SSL-VPN. Это переполнение буфера в куче, доступное до аутентификации; оценка CVSS составляет 7,5. Удалённый злоумышленник без учётных данных мог вызвать отказ в обслуживании на уровне приложения.
Для федеральных ведомств США установлен срок: агентствам Федеральной гражданской исполнительной ветви власти (FCEB) рекомендовано установить исправления до 20 ноября 2026 года, чтобы защитить свои сети от этой угрозы.
За несколько дней до этого SonicWall сообщила о двух неисправленных уязвимостях — CVE-2026-109593 и CVE-2026-109594 — в устаревших системах Global Management System (GMS), срок поддержки которых завершён. Клиентам, использующим GMS, компания рекомендует перейти на Network Security Manager (NSM).
Изображение носит иллюстративный характер
Согласно пятничному уведомлению SonicWall, пользователь с действительными данными для альтернативного способа аутентификации при определённых условиях может обойти проверки SAML. Если многофакторная аутентификация настроена через SAML, атака способна обойти и её.
Компания сообщила, что расследует сведения о возможной эксплуатации CVE-2026-19868. Подробностей о предполагаемой атаке и её организаторах SonicWall не раскрыла. Клиентам рекомендовано как можно скорее установить последнюю версию программного обеспечения.
В том же обновлении SonicWall исправила ещё три уязвимости высокой степени серьёзности. CVE-2026-107155 получила оценку CVSS 8,8: ошибка в слишком разрешительной политике междоменных запросов затрагивает интерфейс управления SonicOS. При определённых условиях удалённый злоумышленник без аутентификации мог выполнять несанкционированные операции.
CVE-2026-107154 также оценивается в 8,8 балла. Это уязвимость проверки сеансов в интерфейсе управления SonicOS; при определённых условиях она тоже могла позволить удалённому неавторизованному атакующему выполнять операции без разрешения.
Третья ошибка, CVE-2026-82308, находится в службе SonicOS SSL-VPN. Это переполнение буфера в куче, доступное до аутентификации; оценка CVSS составляет 7,5. Удалённый злоумышленник без учётных данных мог вызвать отказ в обслуживании на уровне приложения.
Для федеральных ведомств США установлен срок: агентствам Федеральной гражданской исполнительной ветви власти (FCEB) рекомендовано установить исправления до 20 ноября 2026 года, чтобы защитить свои сети от этой угрозы.
За несколько дней до этого SonicWall сообщила о двух неисправленных уязвимостях — CVE-2026-109593 и CVE-2026-109594 — в устаревших системах Global Management System (GMS), срок поддержки которых завершён. Клиентам, использующим GMS, компания рекомендует перейти на Network Security Manager (NSM).
