Bezpečnost ·
SonicWall CVE-2026-19868: chyba SSL VPN obchází SAML, CISA ji vede jako zneužívanou
Americký úřad CISA 6. listopadu 2026 přidal do katalogu zneužívaných zranitelností chybu CVE-2026-19868 v SSL VPN firewallů SonicWall se SonicOS. Útočník s platnými údaji k jiné metodě přihlášení může obejít SAML a s ním i vícefaktorové ověření.
CISA 6. listopadu 2026 zařadila do katalogu známých zneužívaných zranitelností (KEV) chybu CVE-2026-19868 ve službě SSL VPN systému SonicOS od firmy SonicWall. CISA ji pojmenovala jako použití jednofaktorového ověření. Podle zpráv bezpečnostních médií jde o slabinu v prosazování přihlášení: kdo má platné údaje pro jinou, alternativní metodu přihlášení, může obejít kontrolu SAML, a tím i vícefaktorové ověření, které za SAML stojí.
Problém se týká jen nasazení, kde se SSL VPN přihlašuje přes SAML. Podle dostupných zpráv postihuje SonicOS 7.3.3-7015 a starší a 8.2.2-8015 a starší, opravu přinášejí buildy 7.3.4-7013 a 8.2.3-8015. SonicWall chybu popsal v bulletinu SNWLID-2026-0014 z 6. listopadu. Média uvádějí, že obejít problém jinak než aktualizací nejde. Uvádí se skóre CVSS 7,1. CISA americkým federálním úřadům nařídila chybu ošetřit do 20. listopadu 2026.
Nejčastější otázka zní, zda se to týká i českých firem. Ano, pokud používáte firewall SonicWall s SSL VPN a přihlášením přes SAML, například napojeným na Microsoft Entra ID nebo jiného poskytovatele identit. Útočník ale potřebuje platné údaje k některému jinému způsobu přihlášení, takže největší riziko mají firmy, které nechaly zapnuté starší lokální účty nebo jiné metody paralelně vedle SAML.
Zařazení do KEV znamená, že se chyba zneužívá v praxi. Zdroje se v detailech liší, například v přesném číslování opravných verzí a u jedné automaticky generované stránky i v tom, zda zneužití probíhá, proto si čísla verzí ověřte přímo v bulletinu SonicWallu. Na stejné platformě se navíc objevila samostatná chyba CVE-2026-82308 s přetečením haldy v SSL VPN, ta s tímto případem nesouvisí, ale je dalším důvodem držet firmware aktuální.
Co to znamená pro firmy
Pokud provozujete SonicWall s SSL VPN, zjistěte dnes verzi SonicOS, nasaďte opravený build a v nastavení VPN vypněte všechny alternativní metody přihlášení, které nepotřebujete. Po aktualizaci projděte přihlašovací logy za poslední týdny a hledejte přihlášení mimo SAML. Prověrku VPN, firewallů a přístupů děláme jako kybernetickou bezpečnost, pravidelné záplatování webů a serverů řešíme v rámci správy webu. Hlídání upozornění CISA a NÚKIB a hlášení neobvyklých přihlášení může převzít AI agent, který o zásahu nechá rozhodnout člověka. Prahapp, pražská AI divize společnosti Buinsoft Technology, připraví prototyp zdarma do 3 pracovních dnů.
Zdroje: CISA: Adds One Known Exploited Vulnerability to Catalog (6 Nov 2026), GBHackers: Hackers exploit SonicWall SSL-VPN vulnerability to bypass MFA