CISA cảnh báo lỗ hổng bypass MFA trên SonicWall SonicOS
"CISA has added a high-severity authentication bypass vulnerability (CVE-2026-19868) in SonicWall SonicOS to its KEV catalog, potentially allowing bypass of SAML and MFA. SonicWall also patched several other high-severity flaws (CVE-2026-107155, CVE-2026-107154, CVE-2026-82308) affecting the management interface and SSL-VPN service. FCEB agencies are urged to patch by November 20, 2026."
Lỗ hổng xác thực này có thể cho phép kẻ tấn công bỏ qua MFA và truy cập trái phép vào hệ thống.
Việc khai thác lỗ hổng có thể gây gián đoạn dịch vụ, mất dữ liệu và thiệt hại uy tín cho doanh nghiệp.
CISA vừa thêm lỗ hổng xác thực nghiêm trọng (CVE-2026-19868) trong SonicOS của SonicWall vào danh mục KEV, có thể cho phép bỏ qua SAML và MFA. SonicWall cũng đã vá một số lỗ hổng khác có mức độ nghiêm trọng cao (CVE-2026-107155, CVE-2026-107154, CVE-2026-82308) ảnh hưởng đến giao diện quản lý và dịch vụ SSL-VPN.
Lỗ hổng CVE-2026-19868 cho phép người dùng có quyền truy cập hợp lệ bằng phương thức xác thực khác bỏ qua kiểm soát SAML. Việc khai thác thành công có thể vô hiệu hóa xác thực đa yếu tố (MFA) được thực thi bởi SAML. SonicWall cho biết họ đã điều tra báo cáo về việc khai thác lỗ hổng này và khuyến nghị khách hàng cập nhật lên phiên bản mới nhất.
Ngoài ra, SonicWall cũng vá các lỗ hổng sau:
* CVE-2026-107155: Lỗ hổng chính sách cross-domain cho phép kẻ tấn công không xác thực thực hiện các thao tác trái phép trên giao diện quản lý. * CVE-2026-107154: Lỗ hổng xác thực phiên trên giao diện quản lý, cũng cho phép kẻ tấn công không xác thực thực hiện các thao tác trái phép. * CVE-2026-82308: Lỗ hổng tràn bộ nhớ đệm dựa trên heap trong dịch vụ SSL-VPN, có thể gây ra tấn công từ chối dịch vụ (DoS).
Các cơ quan liên bang Hoa Kỳ được khuyến nghị áp dụng các bản vá trước ngày 20 tháng 11 năm 2026 để bảo vệ mạng của họ. SonicWall gần đây cũng khuyến nghị nâng cấp từ GMS lên NSM do các lỗ hổng chưa được vá trong GMS (CVE-2026-109593 và CVE-2026-109594).
Câu hỏi thường gặp
CVE-2026-19868 là gì?
CVE-2026-19868 là lỗ hổng xác thực trong SonicOS SSL-VPN, cho phép bỏ qua SAML và MFA nếu người dùng có quyền truy cập bằng phương thức xác thực khác.
Các lỗ hổng khác được vá cùng lúc là gì?
SonicWall cũng vá CVE-2026-107155 (chính sách cross-domain), CVE-2026-107154 (xác thực phiên) và CVE-2026-82308 (tràn bộ nhớ đệm) trên giao diện quản lý và dịch vụ SSL-VPN.
Thời hạn vá lỗi là khi nào?
Các cơ quan liên bang Hoa Kỳ được khuyến nghị vá lỗi trước ngày 20 tháng 11 năm 2026. Các tổ chức khác nên ưu tiên vá lỗi càng sớm càng tốt.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt quan trọng với các doanh nghiệp Việt Nam sử dụng SonicWall SonicOS cho VPN. Việc bỏ qua MFA có thể dẫn đến xâm nhập trái phép vào hệ thống. Các doanh nghiệp nên ưu tiên cập nhật lên phiên bản mới nhất. Điều đáng chú ý là thời hạn vá lỗi là 20/11/2026, cần lên kế hoạch triển khai sớm.