Ravie Lakshmanan, 9 Kasım 2026, Açıklık / Ağ Güvenliği
ABD Siber ve Altyapı Güvenliği Ajansı CISA, SonicWall SonicOS'u etkileyen yüksek önem dereceli bir açığı, gerçek saldırılarda istismar edilmiş olabileceğine dair raporların ardından Bilinen İstismar Edilen Açıklar kataloğuna ekledi.
Açık CVE-2026-19868 olarak izleniyor (CVSS puanı: 7,1 / 7,5) ve alternatif kimlik doğrulama yöntemleri üzerinden kimlik doğrulama zorunluluğunu aşma açığı olarak tanımlandı.
SonicWall'ın cuma günü yayımlanan uyarısında şöyle denildi: "SonicOS SSL-VPN hizmetindeki kimlik doğrulama uygulama açığı, alternatif bir kimlik doğrulama yöntemi için geçerli kimlik bilgilerine sahip bir kullanıcının SAML kimlik doğrulama kontrollerini atlamasına izin verebilir. Başarılı istismar SAML tarafından zorunlu kılınan çok faktörlü kimlik doğrulamayı (MFA) da atlayabilir."
Şirket ayrıca bu açığın potansiyel istismarına dair bir raporu araştırdığını kabul etti ve müşterilerin mümkün olan en kısa sürede en güncel sürüme geçmelerini istedi. SonicWall, saldırının niteliği veya arkasındaki kişi hakkında ek ayrıntı paylaşmadı.
SonicWall tarafından aynı zamanda bir dizi başka yüksek önem dereceli açık da düzeltildi.
CVE-2026-107155 (CVSS puanı: 8,8) - SonicOS yönetim arayüzündeki izinli çapraz alan politikası açığı, belirli koşullar altında uzaktan kimliği doğrulanmamış bir saldırganın yetkisiz işlemler yapmasına olanak tanıyabilir.
CVE-2026-107154 (CVSS puanı: 8,8) - SonicOS yönetim arayüzündeki oturum doğrulama açığı, belirli koşullar altında uzaktan kimliği doğrulanmamış bir saldırganın yetkisiz işlemler yapmasına olanak tanıyabilir.
CVE-2026-82308 (CVSS puanı: 7,5) - SonicOS SSL-VPN hizmetindeki kimlik doğrulama öncesi yığın tabanlı arabellek taşması açığı, uzaktan kimliği doğrulanmamış bir saldırganın uygulama seviyesinde hizmet reddine neden olmasına olanak tanıyabilir.
Federal Sivil Yürütme Şubesi kurumlarının ağlarını tehdit karşısında güvence altına almak için yamaları 20 Kasım 2026'ya kadar uygulamaları öneriliyor.
Bu gelişme, SonicWall'ın son günlerde kullanım ömrü sona ermiş Global Management System sistemlerini etkileyen iki yamalanmamış açık CVE-2026-109593 ve CVE-2026-109594'i detaylandırmasının ardından geldi; şirket müşterileri Network Security Manager'a yükseltmeye çağırdı.
