SonicWall SSL-VPN'de SAML ve MFA'yı atlatan açık saldırılarda kullanılıyor

SonicWall, 6 Kasım’da Türkiye saatiyle 13.40’ta yayımladığı SNWLID-2026-0014 numaralı danışma notunda, güvenlik duvarlarının işletim sistemi SonicOS’ta yedi güvenlik açığı bulunduğunu duyurdu. Açıklardan CVE-2026-19868, SSL-VPN hizmetindeki bir kimlik doğrulama uygulama hatası. SonicWall’a göre başka bir kimlik doğrulama yöntemi için geçerli kimlik bilgilerine sahip bir kullanıcı, SAML kimlik doğrulama kontrollerini atlatabiliyor. Başarılı bir istismar, SAML ile zorunlu tutulan çok faktörlü kimlik doğrulamanın (MFA) da atlatılmasına yol açabiliyor.

Saldırılarda kullanım

SonicWall, danışma notunda güvenlik ekibinin bu açığın istismar edilmiş olabileceğine işaret eden bir raporu incelediğini belirtiyor ve müşterilerine en kısa sürede son sürüme yükseltmelerini önemle öneriyor. Şirket raporun ayrıntılarını paylaşmadı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığı 6 Kasım’da gerçek saldırılarda kullanıldığı doğrulanan açıklar listesine (KEV) ekledi ve ABD federal kurumlarına 20 Kasım’a kadar süre verdi. CISA’ya göre açığın fidye yazılımı saldırılarında kullanılıp kullanılmadığı bilinmiyor.

Açığın kapsamı

SonicWall’a göre açık yalnızca SSL-VPN girişleri için SAML etkinleştirilmiş cihazlarda SonicOS’un SSL-VPN arayüzünü ya da hizmetini etkiliyor. Açığın CWE sınıfı CWE-308, yani tek faktörlü kimlik doğrulama kullanımı. SonicWall’un verdiği CVSS 3.1 puanı 7.1, yani yüksek önemde. Puanlamaya göre açık ağ üzerinden kullanılabiliyor, ancak saldırının karmaşıklığı yüksek ve saldırganın düşük düzeyde yetkiye sahip olması gerekiyor. CISA’nın CVE kaydına eklediği CVSS 3.1 puanı ise 7.5. CISA’nın puanlamasında saldırganın yetkiye sahip olması gerekmiyor. SonicWall’a göre açığı The Electronic Office’ten Ryan Harris bildirdi.

Aynı danışma notundaki diğer açıklar

SonicWall’a göre danışma notundaki diğer altı açık şunlar:

• CVE-2026-107155 ve CVE-2026-107154 (CVSS 3.1: 8.8): SonicOS yönetim arayüzündeki iki açık. İlki aşırı izin verici bir alanlar arası (cross-domain) politika açığı ve belirli koşullarda kimliği doğrulanmamış uzaktaki bir saldırganın yetkisiz işlemler yapmasına izin verebiliyor. İkincisi, kimlik doğrulamada IP adresine güvenilmesinden kaynaklanan bir oturum doğrulama açığı. İki açığın puanlamasında da kullanıcı etkileşimi gerekiyor.
• CVE-2026-82308 (CVSS 3.1: 7.5): SSL-VPN hizmetinde giriş öncesi bir heap taşması. Giriş yapmamış bir saldırgan hizmeti çökertebiliyor.
• CVE-2026-77708 ve CVE-2026-77709 (CVSS 3.1: 5.9): TACACS+ kimlik doğrulamasında giriş öncesi iki taşma açığı, hizmetin çökmesine yol açabiliyor.
• CVE-2026-19703 (CVSS 3.1: 5.2): SonicOS sanal cihazlarında zayıf parola özeti kullanımı. Yerel erişimi olan bir saldırganın bir platform kimlik bilgisini elde etmesine yol açabiliyor.

SonicWall’a göre bu açıkların beşini Pentest-Tools.com’un araştırmacıları, CVE-2026-19703’ü ise İtalya Ulusal Siber Güvenlik Ajansı’ndan (ACN) Gianpiero Costantino bildirdi.

Etkilenen sürümler

SonicWall’un danışma notuna göre:

• Gen7 donanım cihazlar ve Gen7 NSv sanal cihazlar: SonicOS 7.3.3-7015 ve öncesi
• Gen8 donanım cihazlar ve Gen8 NSv sanal cihazlar: SonicOS 8.2.2-8015 ve öncesi

Önerilen önlemler

SonicWall, Gen7 cihazların SonicOS 7.3.4-7013 ve sonrasına, Gen8 cihazların 8.2.3-8015 ve sonrasına yükseltilmesini öneriyor. Danışma notunun ilk sürümünde geçici bir önlem yer almıyordu, SonicWall 9 Kasım’daki 1.1 sürümünde bir geçici önlem ekledi. Ayrıntılar güncelleme notunda.