Faille SSLVPN SonicWall CVE-2026-19868 exploitée et ajoutée au KEV de la CISA : corriger les passerelles exposées

CVE-2026-19868 SSLVPN SonicWall exploitée, ajoutée au KEV CISA. Corrigez les passerelles exposées et analysez les journaux SAML/MFA.

  • La CISA a ajouté CVE-2026-19868, une faille SSLVPN de SonicWall SonicOS, à son catalogue des vulnérabilités exploitées connues après des preuves d’exploitation.
  • La faille peut permettre à un attaquant disposant déjà d’identifiants pour une autre méthode de connexion de contourner les contrôles SAML, y compris le MFA imposé par SAML, sur les chemins VPN affectés.
  • Toute équipe scolaire ou publique exposant le SSLVPN SonicWall à Internet doit traiter cela comme un correctif d’urgence, restreindre l’accès et analyser les journaux VPN/SAML pour détecter les MFA contournés ou les sessions inhabituelles.

À faire maintenant

  1. Inventorier chaque appareil SonicWall SonicOS qui termine le SSLVPN ou participe à l’authentification SAML ; noter le modèle, la version SonicOS, le responsable, l’exposition et le besoin métier.
  2. Appliquer immédiatement la version SonicOS corrigée par le fournisseur ou la mesure d’atténuation documentée pour les instances SSLVPN exposées à Internet, via une approbation de changement d’urgence et en couvrant les paires HA et les sites distants.
  3. Si le correctif ne peut pas être appliqué maintenant, restreindre l’accès SSLVPN et d’administration par adresse IP source, désactiver les portails inutilisés ou couper temporairement le SSLVPN lorsque c’est faisable.
  4. Examiner les journaux VPN, SAML et d’authentification pour les connexions réussies ayant contourné le MFA, utilisé des assertions inattendues, provenant de nouveaux emplacements ou avec des sessions anormalement longues ; préserver les preuves et révoquer les sessions suspectes.
  5. Après le correctif, tester la validation SAML et l’application du MFA avec des comptes représentatifs, envoyer les journaux de périphérie au SIEM avec des alertes d’anomalies d’authentification, et suivre les avis SonicWall ainsi que l’entrée KEV de la CISA jusqu’à la clôture.

Articles liés