SonicWall vá lỗi VPN có thể vượt qua xác thực đa yếu tố

SonicWall đã vá lỗ hổng CVE-2026-19868 trong thành phần SSL VPN của SonicOS. Lỗi có thể cho phép người có thông tin đăng nhập hợp lệ theo một phương thức xác thực khác vượt qua kiểm soát SAML, kể cả xác thực đa yếu tố được áp dụng qua SAML. SonicWall cho biết đã điều tra báo cáo về khả năng lỗ hổng bị khai thác trong các cuộc tấn công.

Thiết bị tường lửa SonicWall

Lỗ hổng ảnh hưởng đến những thiết bị nào?

CVE-2026-19868 là lỗi trong cơ chế thực thi xác thực của dịch vụ SSL VPN trên SonicOS, hệ điều hành chạy trên các thiết bị tường lửa SonicWall. Lỗ hổng chỉ có thể ảnh hưởng đến VPN khi đăng nhập bằng SAML được bật. SAML là tiêu chuẩn cho phép trao đổi thông tin xác thực giữa các hệ thống.

Lỗ hổng có điểm CVSS 7,1, thuộc mức nghiêm trọng cao. CVSS là hệ thống chấm điểm mức độ nghiêm trọng của lỗ hổng. Lỗi được Ryan Harris thuộc The Electronic Office báo cáo.

Các thiết bị bị ảnh hưởng gồm:

• Tường lửa Gen7 TZ, NSa, NSsp và NSv chạy SonicOS phiên bản 7.3.3-7015 trở xuống.
• Tường lửa Gen8 TZ, NSa và NSv chạy SonicOS phiên bản 8.2.2-8015 trở xuống.

SonicWall đã phát hành SonicOS 7.3.4-7013 và 8.2.3-8015 để khắc phục lỗi. Hãng cho biết hiện không có biện pháp thay thế bản vá và khuyến cáo khách hàng nâng cấp lên phiên bản mới nhất sớm nhất có thể.

CISA đưa lỗi vào danh mục bị khai thác

Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã thêm CVE-2026-19868 vào danh mục KEV — danh sách các lỗ hổng đã bị khai thác — cùng ngày SonicWall công bố thông tin. Theo Chỉ thị hoạt động bắt buộc 26-04, các cơ quan liên bang phải xử lý lỗ hổng trước ngày 20 tháng 11.

SonicWall cho biết nhóm bảo mật sản phẩm đã điều tra một báo cáo về khả năng lỗ hổng bị khai thác. Tuy nhiên, cả hãng lẫn CISA đều chưa công bố chi tiết về các cuộc tấn công bị nghi ngờ. Hiện cũng chưa rõ lỗ hổng có bị khai thác trước khi bản vá được phát hành hay không.

Sáu lỗ hổng khác trong cùng khuyến cáo

Khuyến cáo của SonicWall đề cập tổng cộng bảy lỗ hổng. Hãng không đánh dấu sáu lỗi còn lại là đã bị khai thác.

Hai lỗi có điểm CVSS 8,8 ảnh hưởng đến giao diện quản lý SonicOS: một lỗi liên quan đến chính sách liên miền quá rộng, lỗi còn lại nằm ở bước xác thực phiên. Trong một số điều kiện, kẻ tấn công từ xa có thể lợi dụng từng lỗi để thực hiện hành động trái phép mà không cần đăng nhập.

Ba lỗi khác là lỗi tràn bộ đệm trước xác thực, nằm trong dịch vụ SSL VPN và ứng dụng khách xác thực TACACS+. Chúng có thể bị lợi dụng để gây từ chối dịch vụ ở cấp ứng dụng.

Lỗ hổng còn lại liên quan đến cơ chế băm mật khẩu yếu trong các thiết bị ảo. Kẻ tấn công đã có quyền truy cập cục bộ ở mức cao có thể khai thác lỗi để lấy thông tin xác thực của nền tảng, qua đó truy cập một số thiết lập của hệ thống.

Danh mục KEV của CISA hiện có 20 lỗ hổng liên quan đến sản phẩm SonicWall. Cơ quan này chưa thêm CVE-2026-102255, dù tin tặc bắt đầu nhắm mục tiêu vào lỗi này trong tháng trước, chỉ vài ngày sau khi thông tin được công bố.

Góc nhìn

Với đơn vị đang dùng tường lửa SonicWall, việc cần làm trước tiên là kiểm tra phiên bản SonicOS và xác nhận SAML có được bật cho SSL VPN hay không. Các thiết bị thuộc phạm vi ảnh hưởng cần được nâng cấp lên phiên bản đã khắc phục, bởi hãng cho biết không có biện pháp thay thế bản vá.

Sự cố cũng cho thấy xác thực đa yếu tố không thể bảo vệ đầy đủ nếu có lỗi trong cách hệ thống áp dụng chính sách xác thực. Các nhóm vận hành nên rà soát cả cấu hình đăng nhập lẫn quy trình theo dõi, cập nhật bản vá cho thiết bị biên.