跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#漏洞#CVE-2026-19868#SonicWall#SonicOS#SSL-VPN#SAML#多因素认证#认证绕过#暴露的服务

SonicWall SonicOS SSL-VPN CVE-2026-19868：SAML 及其 MFA 可被绕过，已列入 CISA KEV（请升级 Gen7 和 Gen8）

CVE-2026-19868 让持有另一种登录方式有效凭据的人绕过 SonicWall SSL-VPN 的 SAML 及其 MFA。11月6日起列入 CISA KEV，截止日期11月20日。修复版本。

发布于 2026-11-07 更新于 2026-11-07 最后核实 2026-11-07 4 分钟阅读
本页目录

适用对象：运行带有 SSL-VPN 的 SonicWall Gen7 或 Gen8 防火墙（TZ、NSa、NSsp、NSv）的组织，尤其是 SSL-VPN 登录经过 SAML 和多因素认证的情况，以及为这些防火墙代为管理的合作伙伴。本文基于 SonicWall 的安全公告 SNWLID-2026-0014、NVD 和 CISA 的 KEV 目录，不包含攻击步骤或利用代码。

持续更新中：随着更多信息发布，本页面将会更新

适用对象

运行带有 SSL-VPN 的 SonicWall Gen7 或 Gen8 防火墙（TZ、NSa、NSsp、NSv）的组织，尤其是 SSL-VPN 登录经过 SAML 和多因素认证的情况，以及为这些防火墙代为管理的合作伙伴。

已确认的影响范围查看表格 ↓
  • 受影响版本和修复版本
  • 条件：为 SSL-VPN 登录启用 SAML
  • SAML 强制的 MFA 可被绕过
另外2项
  • 列为已知被利用的漏洞
  • 临时解决方法

被列为可能涉及的项目

  • 利用情况
尚未确认的事项
  • 有多少台防火墙遭到攻击或被入侵
  • SonicWall 调查的利用报告是否已得到确认
  • 具体涉及哪些其他身份验证方式
现在要做的事查看步骤 ↓
  1. 找出您的 Gen7 和 Gen8 防火墙及其 SonicOS 版本
  2. 升级到已修复版本
  3. 检查 SSL-VPN 登录是否使用 SAML
另外2项
  1. 审查可以不经过 SAML 登录 SSL-VPN 的账户
  2. 审查最近的 SSL-VPN 登录
核实来源（出处）全部来源 ↓
SonicWall PSIRT，"SonicWall SonicOS Affected By Multiple Vulnerabilities"（SNWLID-2026-0014，1.0 版，2026年11月6日）
最后核实
截至2026年11月7日16:00（日本时间）
续报计划与核实记录

SonicWall 的公告（1.0 版，11月6日）和 KEV 条目均已公开。我们在11月7日核对了该公告、NVD（状态：Undergoing Analysis）以及 CISA 的 KEV 数据源（版本 2026.11.06）。

今天要做的事

1

找出您的 Gen7 和 Gen8 防火墙及其 SonicOS 版本

记下每台防火墙的 SonicOS 版本，包括 ESX、KVM、Hyper-V、AWS 和 Azure 中的 NSv 虚拟防火墙，以及备用设备和实验室设备。SonicWall 的公告列出的受影响版本为：Gen7 的 7.3.3-7015 及更早版本，Gen8 的 8.2.2-8015 及更早版本。

2

升级到已修复版本

Gen7（TZ、NSa、NSsp、NSv）：7.3.4-7013 或更高版本。Gen8（TZ、NSa、NSv）：8.2.3-8015 或更高版本。SonicWall 没有列出临时解决方法，因此升级就是修复方法。请先备份配置，并规划好重启，因为所有流量都经过防火墙。

3

检查 SSL-VPN 登录是否使用 SAML

SonicWall 表示，CVE-2026-19868 只在为 SSL-VPN 登录启用了 SAML 时才影响 SSL-VPN。如果已启用，该防火墙就在 MFA 绕过的影响范围内。如果未启用，您不会受到这个 CVE 的影响，但同一公告还为相同版本列出了另外六个 CVE，因此仍然请升级。

4

审查可以不经过 SAML 登录 SSL-VPN 的账户

SonicWall 将这种绕过描述为使用另一种身份验证方式的有效凭据。作为本站自己的一般性步骤（并非来自 SonicWall，也不能替代升级），请列出可以通过任何其他方式（例如本地用户或目录服务）登录 SSL-VPN 的账户，删除不需要的账户，并更改可能被重复使用或已泄露的密码。

5

审查最近的 SSL-VPN 登录

作为本站自己的检查，请将最近的 SSL-VPN 登录与您的预期进行对比：没有经过您的 SAML 身份提供商的登录、来自意外地点的登录，或本应只使用 SAML 的账户的登录。如果发现无法解释的登录，请将该账户视为已被入侵，重置其凭据，并联系 SonicWall 支持。

已披露的内容

SonicWall SonicOS SSL-VPN SAML 身份验证绕过（CVE-2026-19868）
产品
SonicWall SonicOS，SonicWall Gen7 和 Gen8 防火墙的操作系统；SSL-VPN 服务
类型
身份验证强制方面的漏洞：另一种身份验证方式的有效凭据可能绕过 SAML 控制和 SAML 强制的 MFA（CWE-308，使用单因素身份验证）
条件
仅在为 SSL-VPN 登录启用了 SAML 时（SonicWall）
严重程度
CVSS v3.1 7.1（SonicWall）。NVD 中 CISA 补充的评分：7.5
受影响
Gen7 的 7.3.3-7015 及更早版本；Gen8 的 8.2.2-8015 及更早版本
已修复
Gen7 7.3.4-7013 及更高版本；Gen8 8.2.3-8015 及更高版本
临时解决方法
无（SonicWall）
利用情况
SonicWall 的安全团队调查了一份显示可能存在利用的报告
KEV
2026年11月6日列入；截止日期11月20日。未被标注为适用 CISA 的取证分级要求
7.1
CVSS v3.1（SonicWall）
无
临时解决方法（SonicWall）
11月20日
KEV 截止日期
7
同一公告中的 CVE

1. 找出版本

Gen7 和 Gen8，包括 NSv

2. 升级

7.3.4-7013 / 8.2.3-8015 或更高版本

3. 检查 VPN 登录

SAML 之外的账户；最近的登录

今天的工作顺序

受影响的型号和修复版本

平台（根据 SonicWall 的公告）受影响已修复
Gen7 硬件：TZ 270 至 TZ 670、NSa 2700 至 NSa 6700、NSsp 10700 至 NSsp 157007.3.3-7015 及更早版本7.3.4-7013 及更高版本
Gen7 NSv：NSv 270、470、870（ESX、KVM、Hyper-V、AWS、Azure）7.3.3-7015 及更早版本7.3.4-7013 及更高版本
Gen8 硬件：TZ 80 至 TZ 680、NSa 2800 至 NSa 58008.2.2-8015 及更早版本8.2.3-8015 及更高版本
Gen8 NSv：NSv XS、S、M、L（ESX、KVM、Hyper-V、AWS、Azure）8.2.2-8015 及更早版本8.2.3-8015 及更高版本

该公告只列出了 Gen7 和 Gen8，没有提及更早的世代。

同一公告中的另外六个 CVE

SonicWall 的公告 SNWLID-2026-0014 共涵盖七个 CVE，全部在相同版本中修复。只有 CVE-2026-19868 列入了 KEV 目录。

CVESonicWall 的说法CVSS v3.1（SonicWall）
CVE-2026-107155管理接口中过于宽松的跨域策略；在特定条件下，未经身份验证的远程攻击者可以执行未经授权的操作8.8
CVE-2026-107154管理接口中的会话验证漏洞，可能造成相同的影响8.8
CVE-2026-82308SSL-VPN 中无需身份验证的堆缓冲区溢出，可能使服务停止7.5
CVE-2026-77708 / CVE-2026-77709TACACS+ 身份验证客户端中无需身份验证的缓冲区溢出，可能使服务停止各 5.9
CVE-2026-19703虚拟设备上的弱密码哈希；已经拥有本地访问权限的攻击者可以获取平台凭据5.2

时间线

  1. 2026年11月6日（UTC）

    SonicWall 发布涵盖七个 CVE 的公告 SNWLID-2026-0014（1.0 版）及修复版本。NVD 公布该 CVE 记录。

  2. 11月6日

    CISA 将 CVE-2026-19868 加入 KEV 目录，截止日期为11月20日。

  3. 11月7日

    公告没有修订；NVD 状态为 Undergoing Analysis。

  4. 11月20日

    美国联邦机构的 KEV 截止日期。

已知与未知的信息

项目来源的说法状态
受影响版本和修复版本Gen7 至 7.3.3-7015，Gen8 至 8.2.2-8015；在 7.3.4-7013 和 8.2.3-8015 中修复已确认（SonicWall）
条件：为 SSL-VPN 登录启用 SAML公告中写明已确认（SonicWall）
SAML 强制的 MFA 可被绕过公告和 KEV 条目中写明已确认（SonicWall）
利用情况SonicWall 调查了一份显示可能存在利用的报告可能（SonicWall）
列为已知被利用的漏洞11月6日加入 KEV已确认被滥用（CISA）
临时解决方法无已确认（SonicWall）
遭到攻击的防火墙数量未公布未说明
其他身份验证方式的具体情况未公布未说明

为什么关键在于通过 SAML 实现的 MFA

许多组织在 SSL-VPN 前面部署 SAML，以便每次登录都经过其身份提供商及其 MFA。这样一来，仅凭被盗的密码应该是不够的。在受影响的版本上，这个漏洞消除了这一保障：SonicWall 表示，另一种身份验证方式的有效凭据可能就足以绕过 SAML 及其 MFA。

这改变了需要关注的账户范围。面临风险的不仅是 SAML 用户，还包括仍然可以通过其他方式登录 SSL-VPN 的任何账户，其中也包括在部署时创建后从未删除的账户。过去泄露的密码或在其他地方重复使用的密码，会在 VPN 上重新变得可用。这就是为什么我们建议在升级之外，还要审查这些账户。

评分也低于实际风险。SonicWall 将其评为 7.1，并假定需要一个低权限账户。按 CVSS 排序的队列会把它排在许多其他漏洞之后，但 KEV 列入和 SonicWall 自己的警告把它推到了最前面（参见如何决定先修复哪些 CVE）。

信息来源

于2026年11月7日（日本时间）核实。

  • SonicWall PSIRT，"SonicWall SonicOS Affected By Multiple Vulnerabilities"（SNWLID-2026-0014，1.0 版，2026年11月6日） — psirt.global.sonicwall.com
  • NVD，CVE-2026-19868 — nvd.nist.gov
  • CISA，Known Exploited Vulnerabilities Catalog（2026年11月6日列入） — cisa.gov

更新记录

2026-11-07：首版，基于 SonicWall 的公告、NVD 和 CISA 的 KEV 目录。

延伸阅读

最新快讯

FAQ

QCVE-2026-19868 是什么？
A

这是 SonicWall SonicOS 的 SSL-VPN 服务中的一个漏洞。据 SonicWall 称，当为 SSL-VPN 登录启用了 SAML 时，持有另一种身份验证方式有效凭据的用户可能绕过 SAML 身份验证控制，还可能绕过 SAML 所强制的多因素认证（MFA）。

Q哪些版本受影响，哪些版本已修复？
A

根据 SonicWall 的公告，受影响的是 SonicOS 7.3.3-7015 及更早版本的 Gen7 防火墙（TZ、NSa、NSsp 和 NSv），以及 8.2.2-8015 及更早版本的 Gen8 防火墙（TZ、NSa 和 NSv）。已修复：Gen7 为 7.3.4-7013 及更高版本，Gen8 为 8.2.3-8015 及更高版本。

Q如果我没有为 SSL-VPN 使用 SAML，会受影响吗？
A

不受这个 CVE 影响。SonicWall 表示，它只在为 SSL-VPN 登录启用了 SAML 时才影响 SSL-VPN 接口或服务。不过，同一公告还为相同版本列出了另外六个 CVE，包括管理接口中的漏洞，以及 SSL-VPN 中一个无需身份验证即可使服务停止的漏洞，因此无论如何都请升级。

Q它正在被利用吗？
A

SonicWall 表示，其安全团队调查了一份显示可能存在利用的报告，并强烈敦促客户升级。CISA 于2026年11月6日将该 CVE 加入其 KEV 目录，截止日期为11月20日。两者都没有公布有多少设备遭到攻击。

Q有临时解决方法吗？
A

没有。SonicWall 的公告没有列出任何临时解决方法。修复方法是升级到 7.3.4-7013（Gen7）或 8.2.3-8015（Gen8）或更高版本。

Q它有多严重？
A

SonicWall 将其评为 CVSS v3.1 7.1。在 NVD 中，CISA 补充的评分为 7.5，因为它假定不需要事先具备任何权限，而 SonicWall 假定需要一个低权限账户。无论哪种，评分都低于 9，这就是为什么应该由 KEV 列入而不是评分数字来决定优先级。