SonicWall: falha na VPN SSL pode contornar o MFA

Em 06/11/2026, a SonicWall publicou correções para sete falhas no SonicOS, o sistema dos seus firewalls. Uma delas, a CVE-2026-19868, chama atenção porque pode contornar o login por SAML e o MFA da VPN SSL, justamente a camada que muitas empresas usam para proteger o acesso remoto. A SonicWall investigou um relato de possível exploração, e a CISA incluiu a falha no catálogo de vulnerabilidades exploradas no mesmo dia.

Se a sua empresa usa VPN com MFA: veja também o caso da falha na VPN da Palo Alto explorada por ransomware, que segue o mesmo padrão.

O que é a falha

Segundo o aviso SNWLID-2026-0014, um usuário com credenciais válidas de um método alternativo de autenticação pode contornar os controles do login SAML na VPN SSL e, com isso, também o MFA exigido pelo SAML. Na prática, o firewall aceita outro caminho de login (como LDAP, RADIUS ou TACACS+) onde deveria exigir o fluxo SAML com segundo fator.

A falha recebeu nota 7,1 e exige credenciais válidas do método alternativo, ou seja, não é uma entrada sem senha. O risco está na combinação com senhas vazadas ou roubadas por phishing: a senha sozinha volta a bastar, porque o segundo fator deixa de ser cobrado. O próprio aviso destaca que a falha só afeta a VPN SSL quando o SAML está ativado para o login.

Quem está exposto e quais versões corrigem

O aviso da SonicWall lista as plataformas e versões afetadas:

• Gen7 (TZ 270 a TZ 670, NSa 2700 a 6700, NSsp 10700 a 15700 e NSv 270/470/870): SonicOS 7.3.3-7015 e anteriores. Correção: 7.3.4-7013 ou superior.
• Gen8 (TZ 80 a TZ 680, NSa 2800 a 5800 e NSv): SonicOS 8.2.2-8015 e anteriores. Correção: 8.2.3-8015 ou superior.

A mesma atualização corrige outras seis falhas, duas delas com nota 8,8 na interface de administração, que em condições específicas podem permitir operações não autorizadas por um atacante remoto, e uma que pode derrubar a VPN SSL antes do login. Por isso, a atualização vale mesmo para quem não usa SAML.

Se não der para atualizar agora

A SonicWall indica uma alternativa temporária: com o SAML em uso e sem como atualizar o firmware, desativar ou excluir os servidores de autenticação LDAP, RADIUS e TACACS+ ativos configurados no firewall. O caminho fica em Device, Users, Settings, Authentication, na configuração de cada tipo de servidor.

Antes de mexer, confira o que depende desses servidores, porque outros acessos podem usá-los. A medida fecha o caminho alternativo de login, mas é provisória: a correção definitiva é a atualização do SonicOS.

O que mais revisar no acesso remoto

Depois de atualizar, vale olhar os registros de login da VPN SSL em busca de acessos estranhos, como horários fora do comum, países inesperados ou usuários que não deveriam usar a VPN. Troque as senhas de contas suspeitas e revise quais métodos de autenticação estão realmente em uso.

A falha não diminui a importância do MFA; ela mostra que o MFA depende do equipamento atualizado e bem configurado. Inventariar os equipamentos de borda (firewall, VPN, acesso remoto), acompanhar os avisos dos fabricantes e manter só os métodos de login necessários são medidas que valem para qualquer marca.

Por que isso importa para a proteção dos computadores

Se alguém entra pela VPN, o próximo passo acontece nos computadores e servidores da rede: reconhecimento, roubo de credenciais e, muitas vezes, ransomware. Um EDR, como o do Bitdefender GravityZone Business Security Enterprise, não corrige o firewall, mas ajuda a detectar e investigar o que o invasor faz depois de entrar.

Firewall e VPN ficam fora do portfólio da Codlinx; quando necessário, indicamos quem faz. A Codlinx, parceira oficial Bitdefender, faz um diagnóstico gratuito das camadas de proteção da empresa, com retorno em até 24 horas úteis. Para a equipe de TI, a página de segurança para TI reúne o que costuma pesar na decisão.