SonicWall vừa vá một lỗ hổng SSLVPN đã bị khai thác thật: CVE-2026-19868. Ngày 06/11/2026, SonicWall công bố advisory SNWLID-2026-0014, và cùng ngày CISA đưa CVE này vào danh sách Known Exploited Vulnerabilities (KEV), hạn xử lý cho khối liên bang Mỹ là 20/11/2026.

Lỗ hổng là gì

CVE-2026-19868 (CWE-308, Use of Single-factor Authentication) nằm ở dịch vụ SSLVPN của SonicOS khi cấu hình đăng nhập bằng SAML. Kẻ tấn công có sẵn credential hợp lệ của một phương thức đăng nhập khác trên cùng firewall có thể vòng qua kiểm soát SAML — và qua luôn MFA mà SAML bắt buộc.

Nói rõ để khỏi hiểu sai: đây là bypass chính sách xác thực, không phải truy cập không cần xác thực hay RCE. Kẻ tấn công cần có credential hợp lệ trước đã; lỗ hổng nằm ở chỗ credential đó không bị ép qua SAML/MFA như admin tưởng. Chỉ ảnh hưởng SSLVPN có bật SAML cho đăng nhập — firewall không dùng SAML cho SSLVPN thì không dính lỗi này.

Điểm số: SonicWall chấm 7.1 (High) trong advisory của hãng, trong khi hồ sơ CVE ghi 7.5 (High). Hai con số khác nhau do nguồn chấm khác nhau, không phải lỗi đánh máy.

Ai bị ảnh hưởng và vá thế nào

  • Gen7: SonicOS 7.3.3-7015 trở xuống → lên 7.3.4-7013 trở lên.
  • Gen8: SonicOS 8.2.2-8015 trở xuống → lên 8.2.3-8015 trở lên.
  • SonicWall cho biết không có workaround — nâng firmware là cách sửa duy nhất.
  • Advisory SNWLID-2026-0014 gộp tổng cộng 7 CVE cho SonicOS; CVE-2026-19868 là lỗi duy nhất trong đợt này đã có bằng chứng khai thác thật.

Cần làm gì ngay

  1. Kiểm tra phiên bản SonicOS và xem SSLVPN có đang dùng SAML không.
  2. Nâng lên bản vá tương ứng (Gen7: 7.3.4-7013+, Gen8: 8.2.3-8015+), theo đúng dòng máy của mình.
  3. Rà lại các phương thức đăng nhập khác còn mở trên SSLVPN: tài khoản/phương thức nào không đi qua SAML thì cũng không được MFA bảo vệ — tắt những cái không cần thiết.
  4. Nếu nghi ngờ credential đã lộ, đổi credential đó và kiểm tra log đăng nhập SSLVPN xem có lượt đăng nhập nào không qua SAML/MFA không.

Lưu ý: hạn 20/11 là hạn của khối liên bang Mỹ trong KEV, không phải deadline chung cho mọi chủ firewall Việt Nam — nhưng vì đã có bằng chứng khai thác thật và không có workaround, đây vẫn là bản vá nên ưu tiên.

Nguồn