SonicWall در ۶ نوامبر ۲۰۲۶ توصیه‌نامهٔ SNWLID-2026-0014 را با اصلاح هفت آسیب‌پذیری SonicOS منتشر کرد. یکی از آن‌ها، CVE-2026-19868، به کسی که اعتبارنامهٔ معتبر یک روش ورود جایگزین را دارد اجازه می‌دهد SAML را در SSL VPN دور بزند و این می‌تواند MFA اعمال‌شده با SAML را هم شامل شود. SonicWall می‌گوید گزارشی از سوءاستفاده را بررسی کرده و CISA همان روز این نقص را در فهرست Known Exploited Vulnerabilities (KEV) گذاشت. این راهنما می‌گوید چه کسی آسیب‌پذیر است، کدام نسخه‌ها اصلاحش می‌کنند و امروز چه باید کرد. واقعیت‌ها از منابع لینک‌شده‌اند و ۹ نوامبر ۲۰۲۶ خوانده شدند.
در یک نگاه
| مورد | جزئیات |
|---|---|
| CVE | CVE-2026-19868، اعمال احراز هویت در SSL VPN سیستم‌عامل SonicOS |
| شدت | CVSS ۷٫۱ از SonicWall؛ ۷٫۵ در رکورد NVD از غنی‌سازی CISA که سطح دسترسی لازم را «هیچ» می‌داند |
| فقط وقتی در معرض است که | SAML برای ورود SSL VPN فعال باشد |
| آسیب‌پذیر | Gen7 مدل‌های TZ، NSa، NSsp و NSv با SonicOS 7.3.3-7015 یا قدیمی‌تر؛ Gen8 مدل‌های TZ، NSa و NSv با 8.2.2-8015 یا قدیمی‌تر |
| اصلاح‌شده در | 7.3.4-7013 (Gen7) و 8.2.3-8015 (Gen8) |
| راه‌حل موقت | طبق SonicWall وجود ندارد |
| سوءاستفاده | SonicWall گزارش احتمال سوءاستفاده را بررسی کرده؛ CISA آن را سوءاستفاده‌شده در طبیعت ثبت کرده |
| مهلت KEV در CISA | ۲۰ نوامبر ۲۰۲۶ برای نهادهای فدرال آمریکا (BOD 26-04) |
منابع: BleepingComputer، SecurityWeek، هشدار CISA و مرکز امنیت سایبری کانادا.
این نقص چه می‌کند
SonicWall آن را مشکل اعمال احراز هویت در سرویس SSL VPN توصیف می‌کند: کاربری که اعتبارنامهٔ معتبر یک روش احراز جایگزین را دارد ممکن است کنترل‌های SAML را دور بزند و بهره‌برداری موفق ممکن است MFA اعمال‌شده با SAML را هم دور بزند. ساده بگوییم، عامل دومی که از طریق ارائه‌دهندهٔ هویت تنظیم کرده‌اید شاید تنها راه ورود نباشد. این نقص را Ryan Harris از The Electronic Office گزارش کرد. نه SonicWall و نه CISA جزئیات حمله‌ها را نگفته‌اند و معلوم نیست این باگ به‌صورت zero-day بهره‌برداری شده باشد یا نه.
توجه کنید چه نیست. حملهٔ بدون احراز هویتِ عبوری نیست: مهاجم برای یکی از روش‌های ورود اعتبارنامهٔ کارا لازم دارد. مهم است چون بسیاری از تیم‌ها تنظیم SAML و MFA روی VPN را کنترلی می‌دانند که جلوی رمزهای دزدیده‌شده را می‌گیرد.
شش آسیب‌پذیری دیگر در توصیه‌نامه
توصیه‌نامهٔ SonicWall آن شش مورد دیگر را سوءاستفاده‌شده علامت نزده است. دو مورد CVSS ۸٫۸ دارند و رابط مدیریت SonicOS را درگیر می‌کنند: یک مشکل سیاست cross-domain بیش از حد آزاد و یک باگ اعتبارسنجی نشست که در شرایطی مهاجم راه دور بدون ورود می‌تواند از آن‌ها سوءاستفاده کند. سه مورد دیگر سرریز بافر پیش از احراز هویت در سرویس SSL VPN و کلاینت احراز هویت TACACS+ هستند که می‌توانند به DoS سطح برنامه برسند. مورد آخر ضعف هش‌کردن رمز در دستگاه‌های مجازی است که به دسترسی محلی با امتیاز بالا نیاز دارد (SecurityWeek). فریم‌ویری که باگ SAML را اصلاح می‌کند اینها را هم اصلاح می‌کند.
امروز چه باید کرد
- فریم‌ویر خود را پیدا کنید. Gen7 با 7.3.3-7015 یا قدیمی‌تر یا Gen8 با 8.2.2-8015 یا قدیمی‌تر آسیب‌پذیر است.
- ببینید SAML برای ورود SSL VPN استفاده می‌شود یا نه. اگر نه، CVE-2026-19868 شامل شما نیست، اما شش مورد دیگر هنوز هست، پس باز هم به‌روزرسانی کنید.
- به 7.3.4-7013 (Gen7) یا 8.2.3-8015 (Gen8) به‌روز کنید. راه‌حل موقت نیست، پس به‌روزرسانی خودِ اصلاح است.
- برای احتیاط SAML را خاموش نکنید. این MFA مورد نظرتان را حذف می‌کند. اگر نمی‌توانید فوراً وصله کنید، تا زمان‌بندی به‌روزرسانی دسترسی به پورتال SSL VPN را محدود کنید؛ این مواجهه را کم می‌کند ولی باگ را برطرف نمی‌کند.
- ورودهای VPN را مرور کنید. دنبال ورودهایی بگردید که بدون گام عادی ارائه‌دهندهٔ هویت موفق شده‌اند و حساب‌هایی که روش احراز دومی فعال دارند که استفاده نمی‌کنید. هر نشست توضیح‌ناپذیر را نفوذ احتمالی بدانید و اعتبارنامه‌های درگیر را بازنشانی کنید.
- در پیگیری‌هایتان ثبتش کنید. دستگاه‌های SonicWall بارها هدف حمله بوده‌اند: BleepingComputer از حمله‌های ژوئیه، سپتامبر و اکتبر به دستگاه‌های جداگانهٔ SMA1000 خبر می‌دهد، از جمله CVE-2026-102255 در اکتبر.
این در ادامهٔ الگوی گسترده‌تر نیاز دستگاه‌های رو به اینترنت به چرخش اعتبارنامه پس از وصله است که در zero-dayهای Citrix NetScaler: پس از وصله اسرار را بچرخانید آمده است. همان هفته زنجیرهٔ VPN شرکت Ivanti وصلهٔ دوم را لازم کرد: راهنمای وصلهٔ دوباره Ivanti Connect Secure را ببینید.
پرسش‌های متداول
آیا CVE-2026-19868 سوءاستفاده شده؟ SonicWall می‌گوید گزارشی دال بر احتمال سوءاستفاده را بررسی کرده و CISA آن را ۶ نوامبر ۲۰۲۶ به فهرست KEV اضافه کرد.
کدام نسخه‌ها اصلاحش می‌کنند؟ SonicOS 7.3.4-7013 برای Gen7 و 8.2.3-8015 برای Gen8.
اگر SAML استفاده نکنم امنم؟ برای این CVE بله، چون فقط SSL VPN با SAML فعال را درگیر می‌کند. شش آسیب‌پذیری دیگر هنوز اعمال می‌شوند، پس وصله کنید.
راه‌حل موقت هست؟ خیر. SonicWall چیزی فهرست نکرده است.
