SonicWall SonicOS: falla MFA da correggere subito

Una nuova vulnerabilità in SonicWall SonicOS, identificata come CVE-2026-19868, è stata inserita il 9 novembre 2026 nel catalogo Known Exploited Vulnerabilities (KEV) della CISA, l’agenzia federale statunitense per la cybersicurezza. Il motivo è concreto: secondo quanto comunicato, esistono segnalazioni di possibile sfruttamento in attacchi reali.

Per un’azienda questo conta molto perché il problema riguarda il servizio SSL-VPN e può compromettere un controllo che molti considerano “definitivo”: l’autenticazione multifattore (MFA) via SAML. In pratica, un’infrastruttura che sulla carta appare protetta potrebbe non esserlo quanto sembra.

Che cosa è successo

SonicWall ha pubblicato un avviso di sicurezza in cui descrive CVE-2026-19868 come una vulnerabilità di enforcement dell’autenticazione tramite metodi alternativi. In termini semplici: un utente in possesso di credenziali valide per un metodo di accesso alternativo potrebbe riuscire ad aggirare i controlli di autenticazione basati su SAML.

L’aspetto più delicato è che, in caso di successo, l’attacco potrebbe anche bypassare la MFA imposta tramite SAML. Questo non significa che chiunque possa entrare senza password, ma che un’architettura di autenticazione pensata per alzare il livello di sicurezza può essere elusa in condizioni specifiche.

La gravità riportata nelle fonti è alta, con punteggio CVSS 7.1 / 7.5. Ancora più importante del numero, però, è il contesto: la CISA ha ritenuto il rischio sufficientemente concreto da inserirlo nel proprio elenco di vulnerabilità note come sfruttate o ritenute tali sulla base delle evidenze disponibili.

Perché questa falla è diversa dalle solite

Quando si parla di VPN e firewall, molti imprenditori pensano al rischio classico: un bug che permette a un attaccante esterno di entrare senza credenziali. Qui il quadro è leggermente diverso, ma non meno serio.

La vulnerabilità riguarda infatti il modo in cui viene fatto rispettare il percorso di autenticazione. Se l’azienda usa SAML per centralizzare l’accesso e imporre la MFA, l’aspettativa è che quel percorso sia obbligatorio. Il problema segnalato da SonicWall suggerisce invece che, usando un metodo alternativo valido, si possa evitare proprio quel controllo aggiuntivo.

Per un responsabile d’ufficio o un titolare d’impresa, la conseguenza pratica è questa: non basta avere la MFA “attiva” sulla carta. Bisogna verificare che sia davvero applicata senza eccezioni involontarie, soprattutto sugli accessi remoti.

I prodotti coinvolti e gli altri aggiornamenti rilasciati

Oltre a CVE-2026-19868, SonicWall ha corretto anche altre vulnerabilità ad alta severità in SonicOS:

• CVE-2026-107155 con punteggio CVSS 8.8: vulnerabilità di policy cross-domain troppo permissiva nell’interfaccia di gestione, che in condizioni specifiche potrebbe consentire a un attaccante remoto non autenticato di eseguire operazioni non autorizzate.
• CVE-2026-107154 con punteggio CVSS 8.8: vulnerabilità di validazione della sessione nell’interfaccia di gestione, che in condizioni specifiche potrebbe permettere a un attaccante remoto non autenticato di compiere operazioni non autorizzate.
• CVE-2026-82308 con punteggio CVSS 7.5: vulnerabilità di heap-based buffer overflow pre-autenticazione nel servizio SSL-VPN, sfruttabile per causare un denial-of-service a livello applicativo.

Questo elemento è importante perché raramente un aggiornamento di sicurezza corregge un solo punto debole isolato. Quando il vendor rilascia patch che toccano accesso remoto, interfaccia di gestione e validazione delle sessioni, il messaggio per le aziende è chiaro: l’aggiornamento non va rimandato.

Cosa dice CISA e perché il KEV è un segnale forte

L’inserimento nel catalogo KEV non è un dettaglio amministrativo. È uno dei segnali più utili per capire quali vulnerabilità meritano priorità immediata, perché indica che esiste un rischio concreto di abuso nel mondo reale.

Per le agenzie del Federal Civilian Executive Branch (FCEB) statunitense, la scadenza indicata è il 20 novembre 2026 per applicare le correzioni. Anche se questa prescrizione riguarda enti federali USA e non le aziende italiane, resta un ottimo riferimento operativo: quando una falla entra nel KEV e viene associata a una scadenza ravvicinata, il mercato dovrebbe interpretarla come un’urgenza.

In altre parole, non è il classico aggiornamento da mettere “nel prossimo ciclo di manutenzione”. È un intervento da trattare con priorità alta.

Il contesto: attenzione anche ai sistemi fuori supporto

La notizia arriva pochi giorni dopo un altro avviso SonicWall relativo a due vulnerabilità non corrette che impattano i sistemi Global Management System (GMS) a fine vita, tracciate come CVE-2026-109593 e CVE-2026-109594. In quel caso l’azienda ha invitato i clienti a passare a Network Security Manager (NSM).

Il punto non è solo tecnico. Molte PMI continuano a usare apparati perfettamente funzionanti dal punto di vista operativo, ma non più allineati sul piano della sicurezza. Un firewall o una console di gestione “che fa ancora il suo lavoro” può diventare rapidamente un problema se non riceve più aggiornamenti o se dipende da componenti non più supportati.

Cosa significa per la tua azienda

Se in azienda usate apparati SonicWall, soprattutto con SSL-VPN, SAML e MFA, conviene muoversi subito con un controllo strutturato. Ecco le azioni pratiche da considerare:

1. Verifica immediata della versione di SonicOS
   Controlla se gli apparati esposti su Internet eseguono una versione vulnerabile e pianifica l’aggiornamento senza aspettare la prossima finestra ordinaria, se il rischio operativo lo consente.

2. Controllo delle modalità di autenticazione attive
   Non limitarti a verificare che SAML sia configurato: accertati che non esistano metodi alternativi che possano ridurre l’efficacia dei controlli previsti. Spesso il problema nasce dalla convivenza di configurazioni stratificate nel tempo.

3. Revisione degli accessi VPN attivi
   Fai un inventario degli utenti che accedono da remoto, dei gruppi autorizzati e dei profili amministrativi. Un accesso remoto non più necessario è un rischio evitabile.

4. Analisi dei log e dei tentativi anomali
   Se SonicWall ha parlato di potenziale sfruttamento, è prudente verificare i log per individuare autenticazioni insolite, accessi fuori orario o pattern incoerenti con l’uso abituale del servizio.

5. Test del ripristino e continuità operativa
   Ogni aggiornamento urgente su firewall e VPN va accompagnato da un piano di rollback e da backup aggiornati della configurazione. Se qualcosa va storto, il fermo operativo può costare più della patch stessa. Su questo fronte è utile affiancare la sicurezza con una strategia di backup remoto.

6. Valutazione più ampia del perimetro
   Quando emerge una falla su accessi remoti o dispositivi di frontiera, ha senso rivedere l’intera postura di sicurezza: segmentazione, privilegi amministrativi, monitoraggio e gestione delle patch. Se manca un presidio continuativo, un servizio di sicurezza informatica può aiutare a trasformare interventi reattivi in un processo stabile.

7. Manutenzione programmata degli apparati
   Le vulnerabilità su firewall, VPN e console di gestione dimostrano che questi sistemi non possono essere trattati come “scatole da installare e dimenticare”. Serve un ciclo regolare di verifiche, aggiornamenti e controllo configurazioni, idealmente coperto da un contratto di assistenza informatica.

Un errore comune da evitare

Molte aziende pensano che l’adozione della MFA risolva in modo definitivo il problema degli accessi remoti. In realtà la MFA è efficace solo se:

• viene applicata su tutti i percorsi di autenticazione rilevanti;
• non esistono eccezioni non governate;
• il sistema che la implementa è aggiornato;
• i log vengono controllati con regolarità.

Questa vicenda è un promemoria utile: la sicurezza non dipende solo dalla presenza di una tecnologia, ma da come è integrata, aggiornata e verificata nel tempo.

Domande frequenti

Se abbiamo la MFA attiva siamo comunque a rischio?

Sì, potenzialmente sì. La vulnerabilità segnalata riguarda proprio la possibilità di aggirare controlli SAML e MFA in determinate condizioni tramite metodi alternativi di autenticazione.

Dobbiamo spegnere la VPN fino all’aggiornamento?

Non necessariamente, ma l’aggiornamento va trattato come prioritario. La decisione dipende da esposizione, configurazione e criticità del servizio per l’operatività aziendale.

Questa notizia riguarda solo grandi enti o anche una PMI?

Riguarda anche le PMI. Gli apparati di frontiera, come firewall e SSL-VPN, sono bersagli frequenti proprio perché offrono accesso remoto a utenti e sistemi aziendali.