Para: organizações que usam firewalls SonicWall Gen7 ou Gen8 (TZ, NSa, NSsp, NSv) com SSL-VPN, sobretudo quando os logins de SSL-VPN passam por SAML e autenticação multifator, e os parceiros que gerenciam esses firewalls. Esta página se baseia no aviso de segurança SNWLID-2026-0014 da SonicWall, no NVD e no catálogo KEV da CISA; não contém passos de ataque nem código de exploit.
Em andamento: esta página será atualizada conforme mais for publicado
- Quem é afetado
organizações que usam firewalls SonicWall Gen7 ou Gen8 (TZ, NSa, NSsp, NSv) com SSL-VPN, sobretudo quando os logins de SSL-VPN passam por SAML e autenticação multifator, e os parceiros que gerenciam esses firewalls.
- Confirmado até agoraVer a tabela ↓
- Versões afetadas e corrigidas
- Condição: SAML ativado para os logins de SSL-VPN
- A MFA imposta pelo SAML pode ser contornada
Mais 2
- Listada como explorada
- Solução alternativa
Apontado como possivelmente afetado
- Exploração
- Ainda não confirmado
- Quantos firewalls foram atacados ou comprometidos
- Se o relato de exploração investigado pela SonicWall foi confirmado
- Quais outros métodos de autenticação estão envolvidos, em detalhe
- O que fazer agoraVer os passos ↓
- Localize seus firewalls Gen7 e Gen8 e a versão do SonicOS
- Atualize para a versão corrigida
- Verifique se os logins de SSL-VPN usam SAML
Mais 2
- Revise as contas que conseguem entrar no SSL-VPN sem SAML
- Revise os logins recentes de SSL-VPN
- Onde verificar (fonte)Todas as fontes ↓
- SonicWall PSIRT, "SonicWall SonicOS Affected By Multiple Vulnerabilities" (SNWLID-2026-0014, versão 1.0, 6 de novembro de 2026)
- Última verificação
- Em 7 de novembro de 2026, 16:00 (JST)
Próximos avisos e o que verificamos
O aviso da SonicWall (versão 1.0, 6 de novembro) e a entrada no KEV são públicos. Consultamos o aviso, o NVD (status: Undergoing Analysis) e o feed KEV da CISA (versão 2026.11.06) em 7 de novembro.
O que fazer hoje
Localize seus firewalls Gen7 e Gen8 e a versão do SonicOS
Anote a versão do SonicOS de cada firewall, incluindo firewalls virtuais NSv em ESX, KVM, Hyper-V, AWS e Azure, e unidades reserva ou de laboratório. O aviso da SonicWall lista como afetados o Gen7 com 7.3.3-7015 e anteriores e o Gen8 com 8.2.2-8015 e anteriores.
Atualize para a versão corrigida
Gen7 (TZ, NSa, NSsp, NSv): 7.3.4-7013 ou superior. Gen8 (TZ, NSa, NSv): 8.2.3-8015 ou superior. A SonicWall não lista nenhuma solução alternativa, então a atualização é a correção. Faça antes um backup da configuração e planeje a reinicialização, já que todo o tráfego passa pelo firewall.
Verifique se os logins de SSL-VPN usam SAML
A SonicWall diz que a CVE-2026-19868 só afeta o SSL-VPN se o SAML estiver ativado para os logins de SSL-VPN. Se estiver, o firewall está exposto ao bypass de MFA. Se não estiver, você não está exposto a esta CVE, mas o mesmo aviso traz outras seis CVEs para as mesmas versões, então atualize assim mesmo.
Revise as contas que conseguem entrar no SSL-VPN sem SAML
A SonicWall descreve o bypass como o uso de credenciais válidas de um método de autenticação alternativo. Como medida geral nossa (não vem da SonicWall e não substitui a atualização), liste as contas que conseguem entrar no SSL-VPN por qualquer outro método, como usuários locais ou um diretório, remova as que não forem necessárias e troque as senhas que possam ter sido reutilizadas ou vazadas.
Revise os logins recentes de SSL-VPN
Como verificação nossa, compare os logins recentes de SSL-VPN com o que você espera: logins que não passaram pelo seu provedor de identidade SAML, vindos de locais inesperados ou de contas que deveriam usar apenas SAML. Se encontrar algum que não consiga explicar, trate essa conta como comprometida, redefina suas credenciais e entre em contato com o suporte da SonicWall.
O que foi divulgado
- Produto
- SonicWall SonicOS, o sistema operacional dos firewalls Gen7 e Gen8 da SonicWall; o serviço SSL-VPN
- Tipo
- Falha na aplicação da autenticação: uma credencial válida de um método de autenticação alternativo pode contornar os controles SAML e a MFA imposta pelo SAML (CWE-308, uso de autenticação de fator único)
- Condição
- Apenas quando o SAML está ativado para os logins de SSL-VPN (SonicWall)
- Gravidade
- CVSS v3.1 7.1 (SonicWall). Pontuação adicionada pela CISA no NVD: 7.5
- Afetadas
- Gen7 com 7.3.3-7015 e anteriores; Gen8 com 8.2.2-8015 e anteriores
- Corrigidas
- Gen7 7.3.4-7013 e superiores; Gen8 8.2.3-8015 e superiores
- Solução alternativa
- Nenhuma (SonicWall)
- Exploração
- A equipe de segurança da SonicWall investigou um relato que indicava possível exploração
- KEV
- Adicionada em 6 de novembro de 2026; prazo: 20 de novembro. Não marcada para os requisitos de triagem forense da CISA
1. Localizar versões
Gen7 e Gen8, incluindo NSv
2. Atualizar
7.3.4-7013 / 8.2.3-8015 ou posteriores
3. Revisar logins da VPN
Contas fora do SAML; logins recentes
Modelos afetados e versões corrigidas
| Plataforma (segundo o aviso da SonicWall) | Afetadas | Corrigidas |
|---|---|---|
| Hardware Gen7: TZ 270 a TZ 670, NSa 2700 a NSa 6700, NSsp 10700 a NSsp 15700 | 7.3.3-7015 e anteriores | 7.3.4-7013 e superiores |
| Gen7 NSv: NSv 270, 470, 870 (ESX, KVM, Hyper-V, AWS, Azure) | 7.3.3-7015 e anteriores | 7.3.4-7013 e superiores |
| Hardware Gen8: TZ 80 a TZ 680, NSa 2800 a NSa 5800 | 8.2.2-8015 e anteriores | 8.2.3-8015 e superiores |
| Gen8 NSv: NSv XS, S, M, L (ESX, KVM, Hyper-V, AWS, Azure) | 8.2.2-8015 e anteriores | 8.2.3-8015 e superiores |
O aviso lista apenas Gen7 e Gen8. Ele não diz nada sobre gerações anteriores.
As outras seis CVEs do mesmo aviso
O aviso SNWLID-2026-0014 da SonicWall cobre sete CVEs no total, todas corrigidas pelas mesmas versões. Apenas a CVE-2026-19868 está no catálogo KEV.
| CVE | O que a SonicWall diz | CVSS v3.1 (SonicWall) |
|---|---|---|
| CVE-2026-107155 | Política entre domínios permissiva na interface de gerenciamento; em condições específicas, um invasor remoto sem autenticação poderia realizar operações não autorizadas | 8.8 |
| CVE-2026-107154 | Falha de validação de sessão na interface de gerenciamento, com o mesmo efeito possível | 8.8 |
| CVE-2026-82308 | Estouro de buffer de heap pré-autenticação no SSL-VPN que poderia derrubar o serviço | 7.5 |
| CVE-2026-77708 / CVE-2026-77709 | Estouros de buffer pré-autenticação no cliente de autenticação TACACS+ que poderiam derrubar o serviço | 5.9 cada |
| CVE-2026-19703 | Hash de senhas fraco em appliances virtuais; um invasor que já tenha acesso local poderia obter uma credencial da plataforma | 5.2 |
Cronologia
6 de novembro de 2026 (UTC)
A SonicWall publica o aviso SNWLID-2026-0014 (versão 1.0), que cobre sete CVEs, com as versões corrigidas. O NVD publica o registro da CVE.6 de novembro
A CISA adiciona a CVE-2026-19868 ao catálogo KEV com prazo de 20 de novembro.7 de novembro
Nenhuma revisão do aviso; status no NVD: Undergoing Analysis.20 de novembro
Vence o prazo do KEV para as agências federais dos EUA.
O que se sabe e o que não se sabe
| Item | O que as fontes dizem | Situação |
|---|---|---|
| Versões afetadas e corrigidas | Gen7 até 7.3.3-7015, Gen8 até 8.2.2-8015; corrigido em 7.3.4-7013 e 8.2.3-8015 | Confirmado (SonicWall) |
| Condição: SAML ativado para os logins de SSL-VPN | Declarado no aviso | Confirmado (SonicWall) |
| A MFA imposta pelo SAML pode ser contornada | Declarado no aviso e na entrada do KEV | Confirmado (SonicWall) |
| Exploração | A SonicWall investigou um relato que indicava possível exploração | Possível (SonicWall) |
| Listada como explorada | Adicionada ao KEV em 6 de novembro | Abuso confirmado (CISA) |
| Solução alternativa | Nenhuma | Confirmado (SonicWall) |
| Número de firewalls atacados | Não publicado | Não informado |
| Detalhes dos métodos de autenticação alternativos | Não publicados | Não informado |
Por que a MFA via SAML é o ponto central aqui
Muitas organizações colocam o SAML na frente do SSL-VPN para que todo login passe pelo seu provedor de identidade e pela sua MFA. Assim, uma senha roubada sozinha não deveria bastar. Esta falha elimina essa garantia nas versões afetadas: a SonicWall diz que uma credencial válida de outro método de autenticação pode bastar para passar pelo SAML e pela sua MFA.
Isso muda quais contas importam. As contas em risco não são só as dos usuários de SAML, mas qualquer conta que ainda consiga entrar no SSL-VPN de outra forma, incluindo as criadas durante a configuração e nunca removidas. Senhas de vazamentos antigos ou reutilizadas em outros lugares voltam a funcionar na VPN. Por isso sugerimos revisar essas contas, além da atualização.
A pontuação também é menor que o risco. A SonicWall a classifica em 7.1 e pressupõe que é necessária uma conta com poucos privilégios. Uma fila ordenada por CVSS a colocaria abaixo de muitas outras, mas a inclusão no KEV e o próprio alerta da SonicWall a colocam no topo (veja como decidir quais CVEs corrigir primeiro).
Fontes
Consultadas em 7 de novembro de 2026 (JST).
- SonicWall PSIRT, "SonicWall SonicOS Affected By Multiple Vulnerabilities" (SNWLID-2026-0014, versão 1.0, 6 de novembro de 2026) — psirt.global.sonicwall.com
- NVD, CVE-2026-19868 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog (adicionada em 6 de novembro de 2026) — cisa.gov
Histórico de atualizações
2026-11-07: Primeira versão, com base no aviso da SonicWall, no NVD e no catálogo KEV da CISA.
Leia a seguir
- Defender dispositivos expostos: Como defender dispositivos de VPN e o acesso remoto
- Escolher a MFA: O que significa MFA resistente a phishing
- Exploradas em outubro: Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Priorizar correções: Como decidir quais CVEs corrigir primeiro (CVSS, EPSS, KEV)
- Termos: O que é autenticação de dois fatores? / O que é CVSS?