Para: organizaciones que ejecutan cortafuegos SonicWall Gen7 o Gen8 (TZ, NSa, NSsp, NSv) con SSL-VPN, sobre todo cuando los inicios de sesión de SSL-VPN pasan por SAML y la autenticación multifactor, y los socios que gestionan estos cortafuegos. Esta página se basa en el aviso de seguridad SNWLID-2026-0014 de SonicWall, NVD y el catálogo KEV de CISA; no contiene pasos de ataque ni código de exploit.
En desarrollo: esta página se actualizará a medida que se publique más
- A quién afecta
organizaciones que ejecutan cortafuegos SonicWall Gen7 o Gen8 (TZ, NSa, NSsp, NSv) con SSL-VPN, sobre todo cuando los inicios de sesión de SSL-VPN pasan por SAML y la autenticación multifactor, y los socios que gestionan estos cortafuegos.
- Confirmado hasta ahoraVer la tabla ↓
- Versiones afectadas y corregidas
- Condición: SAML activado para los inicios de sesión de SSL-VPN
- Se puede eludir la MFA impuesta por SAML
2 más
- Incluido como explotado
- Solución alternativa
Señalado como posiblemente afectado
- Explotación
- Aún sin confirmar
- Cuántos cortafuegos fueron atacados o comprometidos
- Si se ha confirmado el informe de explotación que investigó SonicWall
- Qué otros métodos de autenticación están implicados, en detalle
- Qué hacer ahoraVer los pasos ↓
- Localice sus cortafuegos Gen7 y Gen8 y su versión de SonicOS
- Actualice a la versión corregida
- Compruebe si los inicios de sesión de SSL-VPN usan SAML
2 más
- Revise las cuentas que pueden iniciar sesión en SSL-VPN sin SAML
- Revise los inicios de sesión recientes de SSL-VPN
- Dónde verificarlo (fuente)Todas las fuentes ↓
- SonicWall PSIRT, "SonicWall SonicOS Affected By Multiple Vulnerabilities" (SNWLID-2026-0014, versión 1.0, 6 de noviembre de 2026)
- Última comprobación
- A fecha del 7 de noviembre de 2026, 16:00 (JST)
Próximos avisos y qué comprobamos
El aviso de SonicWall (versión 1.0, 6 de noviembre) y la entrada de KEV son públicos. Consultamos el aviso, NVD (estado: Undergoing Analysis) y el feed KEV de CISA (versión 2026.11.06) el 7 de noviembre.
Qué hacer hoy
Localice sus cortafuegos Gen7 y Gen8 y su versión de SonicOS
Anote la versión de SonicOS de cada cortafuegos, incluidos los cortafuegos virtuales NSv en ESX, KVM, Hyper-V, AWS y Azure, y las unidades de reserva o de laboratorio. El aviso de SonicWall indica como afectados Gen7 con 7.3.3-7015 y anteriores y Gen8 con 8.2.2-8015 y anteriores.
Actualice a la versión corregida
Gen7 (TZ, NSa, NSsp, NSv): 7.3.4-7013 o superior. Gen8 (TZ, NSa, NSv): 8.2.3-8015 o superior. SonicWall no indica ninguna solución alternativa, así que la actualización es la corrección. Haga antes una copia de seguridad de la configuración y planifique el reinicio, ya que todo el tráfico pasa por el cortafuegos.
Compruebe si los inicios de sesión de SSL-VPN usan SAML
SonicWall dice que CVE-2026-19868 solo afecta a SSL-VPN si SAML está activado para los inicios de sesión de SSL-VPN. Si lo está, el cortafuegos está expuesto a la elusión de la MFA. Si no lo está, no está expuesto a este CVE, pero el mismo aviso incluye otros seis CVE para las mismas versiones, así que actualice igualmente.
Revise las cuentas que pueden iniciar sesión en SSL-VPN sin SAML
SonicWall describe la elusión como el uso de credenciales válidas de un método de autenticación alternativo. Como medida general propia (no procede de SonicWall ni sustituye a la actualización), enumere las cuentas que pueden iniciar sesión en SSL-VPN por cualquier otro método, como usuarios locales o un directorio, elimine las que no necesite y cambie las contraseñas que puedan haberse reutilizado o filtrado.
Revise los inicios de sesión recientes de SSL-VPN
Como comprobación propia, compare los inicios de sesión recientes de SSL-VPN con lo que espera: inicios de sesión que no pasaron por su proveedor de identidad SAML, desde lugares inesperados o de cuentas que solo deberían usar SAML. Si encuentra alguno que no pueda explicar, trate esa cuenta como comprometida, restablezca sus credenciales y contacte con el soporte de SonicWall.
Qué se divulgó
- Producto
- SonicWall SonicOS, el sistema operativo de los cortafuegos Gen7 y Gen8 de SonicWall; el servicio SSL-VPN
- Tipo
- Fallo en la aplicación de la autenticación: una credencial válida de un método de autenticación alternativo puede eludir los controles SAML y la MFA impuesta por SAML (CWE-308, uso de autenticación de un solo factor)
- Condición
- Solo cuando SAML está activado para los inicios de sesión de SSL-VPN (SonicWall)
- Gravedad
- CVSS v3.1 7.1 (SonicWall). Puntuación añadida por CISA en NVD: 7.5
- Afectadas
- Gen7 con 7.3.3-7015 y anteriores; Gen8 con 8.2.2-8015 y anteriores
- Corregidas
- Gen7 7.3.4-7013 y superiores; Gen8 8.2.3-8015 y superiores
- Solución alternativa
- Ninguna (SonicWall)
- Explotación
- El equipo de seguridad de SonicWall investigó un informe que indicaba una posible explotación
- KEV
- Añadido el 6 de noviembre de 2026; fecha límite: 20 de noviembre. No marcado para los requisitos de triaje forense de CISA
1. Localizar versiones
Gen7 y Gen8, incluido NSv
2. Actualizar
7.3.4-7013 / 8.2.3-8015 o posteriores
3. Revisar los inicios de sesión de la VPN
Cuentas fuera de SAML; inicios de sesión recientes
Modelos afectados y versiones corregidas
| Plataforma (según el aviso de SonicWall) | Afectadas | Corregidas |
|---|---|---|
| Hardware Gen7: TZ 270 a TZ 670, NSa 2700 a NSa 6700, NSsp 10700 a NSsp 15700 | 7.3.3-7015 y anteriores | 7.3.4-7013 y superiores |
| Gen7 NSv: NSv 270, 470, 870 (ESX, KVM, Hyper-V, AWS, Azure) | 7.3.3-7015 y anteriores | 7.3.4-7013 y superiores |
| Hardware Gen8: TZ 80 a TZ 680, NSa 2800 a NSa 5800 | 8.2.2-8015 y anteriores | 8.2.3-8015 y superiores |
| Gen8 NSv: NSv XS, S, M, L (ESX, KVM, Hyper-V, AWS, Azure) | 8.2.2-8015 y anteriores | 8.2.3-8015 y superiores |
El aviso solo enumera Gen7 y Gen8. No dice nada sobre generaciones anteriores.
Los otros seis CVE del mismo aviso
El aviso SNWLID-2026-0014 de SonicWall cubre siete CVE en total, todos corregidos con las mismas versiones. Solo CVE-2026-19868 figura en el catálogo KEV.
| CVE | Lo que dice SonicWall | CVSS v3.1 (SonicWall) |
|---|---|---|
| CVE-2026-107155 | Política entre dominios permisiva en la interfaz de gestión; en condiciones específicas, un atacante remoto sin autenticación podría realizar operaciones no autorizadas | 8.8 |
| CVE-2026-107154 | Fallo de validación de sesión en la interfaz de gestión, con el mismo efecto posible | 8.8 |
| CVE-2026-82308 | Desbordamiento de búfer de montículo previo a la autenticación en SSL-VPN que podría detener el servicio | 7.5 |
| CVE-2026-77708 / CVE-2026-77709 | Desbordamientos de búfer previos a la autenticación en el cliente de autenticación TACACS+ que podrían detener el servicio | 5.9 cada uno |
| CVE-2026-19703 | Hash de contraseñas débil en los dispositivos virtuales; un atacante que ya tenga acceso local podría obtener una credencial de la plataforma | 5.2 |
Cronología
6 de noviembre de 2026 (UTC)
SonicWall publica el aviso SNWLID-2026-0014 (versión 1.0), que cubre siete CVE, con las versiones corregidas. NVD publica el registro del CVE.6 de noviembre
CISA añade CVE-2026-19868 al catálogo KEV con fecha límite del 20 de noviembre.7 de noviembre
Ninguna revisión del aviso; estado en NVD: Undergoing Analysis.20 de noviembre
Vence la fecha límite de KEV para las agencias federales de EE. UU.
Qué se sabe y qué no
| Elemento | Lo que dicen las fuentes | Estado |
|---|---|---|
| Versiones afectadas y corregidas | Gen7 hasta 7.3.3-7015, Gen8 hasta 8.2.2-8015; corregido en 7.3.4-7013 y 8.2.3-8015 | Confirmado (SonicWall) |
| Condición: SAML activado para los inicios de sesión de SSL-VPN | Indicado en el aviso | Confirmado (SonicWall) |
| Se puede eludir la MFA impuesta por SAML | Indicado en el aviso y en la entrada de KEV | Confirmado (SonicWall) |
| Explotación | SonicWall investigó un informe que indicaba una posible explotación | Posible (SonicWall) |
| Incluido como explotado | Añadido a KEV el 6 de noviembre | Uso indebido confirmado (CISA) |
| Solución alternativa | Ninguna | Confirmado (SonicWall) |
| Número de cortafuegos atacados | No publicado | No consta |
| Detalles de los métodos de autenticación alternativos | No publicados | No consta |
Por qué lo importante aquí es la MFA a través de SAML
Muchas organizaciones ponen SAML delante de SSL-VPN para que cada inicio de sesión pase por su proveedor de identidad y su MFA. Así, una contraseña robada no debería bastar por sí sola. Este fallo elimina esa garantía en las versiones afectadas: SonicWall dice que una credencial válida de otro método de autenticación puede bastar para pasar SAML y su MFA.
Eso cambia qué cuentas importan. Las cuentas en riesgo no son solo las de los usuarios de SAML, sino cualquier cuenta que aún pueda iniciar sesión en SSL-VPN de otra forma, incluidas las creadas durante la configuración y nunca eliminadas. Las contraseñas de filtraciones pasadas o reutilizadas en otros sitios vuelven a servir en la VPN. Por eso sugerimos revisar esas cuentas, además de la actualización.
La puntuación también es más baja que el riesgo. SonicWall lo valora en 7.1 y supone que hace falta una cuenta con pocos privilegios. Una cola ordenada por CVSS lo situaría por debajo de muchos otros, pero la inclusión en KEV y la propia advertencia de SonicWall lo ponen arriba del todo (vea cómo decidir qué CVE corregir primero).
Fuentes
Consultadas el 7 de noviembre de 2026 (JST).
- SonicWall PSIRT, "SonicWall SonicOS Affected By Multiple Vulnerabilities" (SNWLID-2026-0014, versión 1.0, 6 de noviembre de 2026) — psirt.global.sonicwall.com
- NVD, CVE-2026-19868 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (añadido el 6 de noviembre de 2026) — cisa.gov
Historial de actualizaciones
2026-11-07: Primera versión, basada en el aviso de SonicWall, NVD y el catálogo KEV de CISA.
Leer a continuación
- Defender dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto
- Elegir la MFA: Qué significa una MFA resistente al phishing
- Explotadas en octubre: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Priorizar correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Términos: ¿Qué es la autenticación de dos factores? / ¿Qué es CVSS?