MFA no diagrama não basta: o desvio SAML da SonicWall expõe rotas alternativas

A SonicWall publicou correções para a CVE-2026-19868, um desvio dos controles SAML no SSL-VPN que pode contornar o MFA imposto por esse fluxo quando o atacante possui credenciais válidas de um método alternativo.[3] A CISA incluiu a falha no catálogo de vulnerabilidades conhecidamente exploradas.[3] A lição de engenharia está no caminho alternativo, não em uma suposta quebra universal de MFA.

O que muda para quem desenvolve

A presença de um provedor de identidade forte não encerra a análise de autenticação. Minha leitura é que a propriedade relevante pertence ao conjunto de rotas aceitas pelo serviço. Se uma integração depende de MFA, seu desenho deve explicitar quais outros métodos continuam habilitados e em que circunstâncias entram em ação.

A reportagem delimita o problema ao SSL-VPN configurado com SAML e informa que a exploração não dispensa todas as credenciais.[3] Isso ajuda a formular perguntas melhores para operação: quais métodos coexistem, quais contas podem utilizá-los e qual política realmente é aplicada em cada entrada?

Como aplicar

Comece por inventariar geração e versão do appliance. As versões corrigidas indicadas são SonicOS Gen7 7.3.4-7013 e Gen8 8.2.3-8015; o fabricante não informa solução alternativa.[3] Organize a atualização conforme a linha efetivamente instalada, com plano de recuperação e validação do acesso remoto após a mudança.

Depois, desenhe uma tabela de autenticação. Para cada rota, registre origem da identidade, exigência de segundo fator, autorização resultante e mecanismo de contingência. Não aceite uma única coluna chamada “MFA habilitado” como descrição suficiente.

Em laboratório autorizado, uma aplicação prática é conferir se os acessos previstos e os que deveriam ser recusados continuam obedecendo à política após a atualização. Use contas de teste e critérios explícitos, sem reproduzir ataques em um gateway de produção. O resultado desejado é uma política demonstrável para cada caminho, não apenas um login bem-sucedido pelo caminho principal.

Cuidados e limites

O pacote também corrige falhas com notas CVSS maiores, mas a exploração conhecida desta vulnerabilidade aumenta sua prioridade operacional.[3] Ordenar a fila apenas por pontuação pode esconder o risco mais imediato.

Os ataques anteriores citados na matéria contra SMA1000 envolvem outra linha de appliances e não definem o escopo deste SonicOS.[3] Preserve essa separação no inventário e nos comunicados.

A notícia não oferece detalhes suficientes para reconstruir a operação observada.[3] Portanto, corrija o que está documentado e investigue o ambiente real, sem transformar ausência de detalhes públicos em prova de que não houve acesso indevido.

Fonte

[3] Fonte: BleepingComputer