SonicWall: Ausgenutzte SSL-VPN-Lücke hebelt SAML und MFA aus, was Admins jetzt tun müssen

• SonicWall hat am 6. November 2026 das Advisory SNWLID-2026-0014 mit sieben Schwachstellen in SonicOS für Gen7- und Gen8-Firewalls veröffentlicht, einen Workaround gibt es laut Hersteller nicht.
• Die Lücke CVE-2026-19868 betrifft das SSL-VPN mit SAML-Anmeldung: Wer gültige Zugangsdaten für eine andere Anmeldemethode hat, kann die SAML-Prüfung und die darüber erzwungene MFA umgehen.
• Die US-Cybersicherheitsbehörde CISA hat CVE-2026-19868 am 6. November 2026 in ihren Katalog ausgenutzter Schwachstellen aufgenommen, SonicWall selbst untersucht einen Hinweis auf mögliche Ausnutzung.
• Abhilfe schaffen SonicOS 7.3.4-7013 oder neuer für Gen7 und SonicOS 8.2.3-8015 oder neuer für Gen8, das Update hat Vorrang vor jeder anderen Entscheidung.
• Unternehmen, die ohnehin vor einem Hardwaretausch oder einer Neuausrichtung stehen, können UniFi Gateways und die UniFi Enterprise Firewall als Alternative prüfen, die InSys AG^® plant und begleitet den Umstieg zu UniFi.

Am 6. November 2026 hat SonicWall das Security Advisory SNWLID-2026-0014 veröffentlicht. Es beschreibt sieben Schwachstellen im Firewall-Betriebssystem SonicOS, die Gesamtbewertung liegt bei CVSS 8.8. Einen Workaround nennt der Hersteller nicht, die Lücken lassen sich nur mit einem Update schließen.

Besonders dringend ist CVE-2026-19868. Laut SonicWall kann ein Benutzer, der gültige Zugangsdaten für eine alternative Anmeldemethode besitzt, am SSL-VPN die SAML-Anmeldung umgehen. Damit kann auch eine per SAML erzwungene Multi-Faktor-Authentifizierung (MFA) ausgehebelt werden. Betroffen ist das SSL-VPN nur dann, wenn SAML für die SSL-VPN-Anmeldung aktiviert ist.

Das Produktsicherheitsteam von SonicWall hat nach eigenen Angaben einen Hinweis auf eine mögliche Ausnutzung untersucht und rät dringend zum Update. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-19868 am 6. November 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. US-Bundesbehörden müssen die Lücke bis zum 20. November 2026 schließen. Auch das kanadische Cyber Centre hat dazu den Hinweis AV26-1133 herausgegeben.

• CVE-2026-19868 (CVSS 7.1 laut SonicWall, 7.5 laut CISA): Umgehung von SAML und MFA am SSL-VPN, als ausgenutzt gelistet.
• CVE-2026-107155 (CVSS 8.8): zu großzügige Cross-Domain-Richtlinie in der Verwaltungsoberfläche, unter bestimmten Bedingungen unautorisierte Aktionen ohne Anmeldung möglich.
• CVE-2026-107154 (CVSS 8.8): fehlerhafte Sitzungsprüfung in der Verwaltungsoberfläche, die sich auf die IP-Adresse verlässt.
• CVE-2026-82308 (CVSS 7.5): Pufferüberlauf im SSL-VPN vor der Anmeldung, der den Dienst lahmlegen kann.
• CVE-2026-77708 und CVE-2026-77709 (je CVSS 5.9): Pufferüberläufe im TACACS+-Client.
• CVE-2026-19703 (CVSS 5.2): schwaches Passwort-Hashing auf virtuellen Appliances, setzt lokalen Zugriff voraus.

Laut Advisory sind folgende Geräte betroffen:

• Gen7 (TZ 270 bis TZ 670, NSa 2700 bis NSa 6700, NSsp 10700 bis NSsp 15700 sowie NSv 270, 470 und 870) mit SonicOS 7.3.3-7015 und älter. Behoben ab SonicOS 7.3.4-7013.
• Gen8 (TZ 80 bis TZ 680, NSa 2800 bis NSa 5800 sowie NSv XS, S, M und L) mit SonicOS 8.2.2-8015 und älter. Behoben ab SonicOS 8.2.3-8015.

Die virtuellen Firewalls sind auf allen genannten Plattformen betroffen, also unter ESX, KVM, Hyper-V, AWS und Azure.

1. Update einspielen: SonicOS auf 7.3.4-7013 (Gen7) bzw. 8.2.3-8015 (Gen8) oder neuer aktualisieren. Das hat Vorrang vor jeder anderen Entscheidung, auch vor einem geplanten Herstellerwechsel.
2. SAML am SSL-VPN prüfen: Klären, ob die SSL-VPN-Anmeldung per SAML läuft, etwa über Microsoft Entra ID, und welche weiteren Anmeldemethoden parallel aktiv sind, zum Beispiel lokale Benutzer, LDAP oder RADIUS. Nicht benötigte Methoden abschalten.
3. Anmeldungen abgleichen: SSL-VPN-Anmeldungen der letzten Wochen mit den Anmeldeprotokollen des Identitätsanbieters vergleichen. Eine VPN-Sitzung ohne passende SAML-Anmeldung ist ein Warnsignal.
4. Zugangsdaten erneuern: Bei Auffälligkeiten die Passwörter der betroffenen Konten zurücksetzen und die Sitzungen beenden.
5. Verwaltungsoberfläche absichern: Die Administration der Firewall nicht aus dem Internet erreichbar machen, sondern nur aus einem eigenen Verwaltungsnetz oder über VPN. Das senkt das Risiko der beiden Lücken mit CVSS 8.8.

Nein, nicht allein deshalb. Jede Firewall braucht regelmäßig Sicherheitsupdates, auch UniFi. Die InSys AG^® hat zuletzt selbst über das Sicherheitsupdate für UniFi OS berichtet. SonicWall hat die aktuellen Lücken dokumentiert und mit Updates geschlossen, so wie man es von einem Hersteller erwarten darf.

Ein Wechsel lohnt sich dann, wenn ohnehin eine Entscheidung ansteht: Die Hardware ist am Ende ihrer Laufzeit, Lizenzen laufen aus, Standorte sollen zusammenwachsen oder Netzwerk, WLAN, Videoüberwachung und Zutrittskontrolle sollen in einer gemeinsamen Verwaltung landen. Dann ist der Zeitpunkt richtig, Alternativen in Ruhe zu vergleichen.

UniFi Gateways und die UniFi Enterprise Firewall (EFG) verbinden Firewall, Routing und VPN mit der Verwaltung des gesamten UniFi Netzwerks. Diese Funktionen sind für die Entscheidung wichtig:

• Zonenbasierte Firewall: Seit UniFi Network 9.0 werden Netze und VLANs zu Zonen zusammengefasst, Regeln gelten zwischen diesen Zonen. Das macht Segmentierung übersichtlich.
• IDS/IPS: Die Gateways prüfen den Datenverkehr per Deep Packet Inspection anhand von Signaturen und können erkannte Angriffe automatisch blockieren. Mit dem optionalen Abo CyberSecure wächst die Signaturdatenbank je Standort.
• VPN ohne Altlasten: Für den Fernzugriff empfiehlt Ubiquiti WireGuard und Teleport. Wie das im Alltag aussieht, zeigt die News zum UniFi Endpoint für Windows.
• Anbindung an Microsoft Entra ID: Mit UniFi Endpoint und Entra ID steuern Sie VPN, WLAN und Zutritt über dieselben Identitäten wie Microsoft 365.
• Zentrale Verwaltung: Mit dem UniFi Site Manager verwalten Sie viele Standorte und Gateways aus einer Oberfläche.

Welches Gerät passt, hängt von Bandbreite, Anzahl der Standorte und Prüftiefe ab. Einen Überblick über die Modelle gibt der Vergleich der UniFi Dream Machine Modelle.

1. Bestandsaufnahme: Regeln, NAT, VPN-Tunnel, Anmeldemethoden und Abhängigkeiten der bestehenden Firewall dokumentieren.
2. Zielbild planen: Zonen, VLANs, VPN für Mitarbeitende und Standorte sowie die Anbindung an Entra ID festlegen.
3. Parallelbetrieb vorbereiten: Das UniFi Gateway vorkonfigurieren und testen, bevor die bestehende Firewall abgelöst wird.
4. Umschalten und prüfen: Umstellung in einem abgestimmten Wartungsfenster, danach Kontrolle von Regeln, VPN und Protokollen.

Bis zum Umstieg bleibt die bestehende SonicWall Firewall im Einsatz und muss deshalb aktuell sein.

Die InSys AG^® ist Ubiquiti Enterprise Partner und UniFi Professional Integrator mit mehr als 10.000 UniFi Geräten bei Kunden. Wir übernehmen das Ubiquiti Consulting und die Migration zu UniFi von der Bestandsaufnahme über die Planung bis zur Inbetriebnahme, auch remote. Die Firewalls können Sie vorab in Deutschlands größtem UniFi Democenter im H1 Bielefeld im Betrieb erleben. Einen Überblick über alle Lösungen finden Sie auf unserer Seite zu UniFi für Unternehmen.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unter dieser News.