Wer gültige Zugangsdaten für eine alternative Anmeldemethode besitzt, kann am SonicOS-SSL-VPN die SAML-Kontrollen umgehen – und damit unter Umständen auch die per SAML erzwungene Multi-Faktor-Authentifizierung. CISA führt die Lücke seit dem 6. November 2026 als aktiv ausgenutzt. Einen Workaround gibt es nicht, das Update ist verfügbar.
Advisory als PDF herunterladenDer SSL-VPN-Dienst von SonicOS setzt die Anmeldung über SAML nicht durchgängig durch (CWE-308, einfache statt mehrstufiger Authentifizierung). Ein Nutzer mit gültigen Zugangsdaten für eine alternative Anmeldemethode kann so die SAML-Kontrollen umgehen; das kann auch die per SAML erzwungene MFA einschließen. Betroffen ist das SSL-VPN nur, wenn SAML dafür aktiviert ist. Technische Details hat SonicWall nicht veröffentlicht.
| Plattform | Verwundbar | Fixversion |
|---|---|---|
| Gen7 · Hardware + NSv | ≤ 7.3.3-7015 | 7.3.4-7013 |
| Gen8 · Hardware + NSv | ≤ 8.2.2-8015 | 8.2.3-8015 |
| SSL-VPN ohne SAML | nicht betroffen | — |
Fixstände laut SonicWall-Advisory SNWLID-2026-0014 vom 06.11.2026. Gen6 wird dort nicht genannt. Dasselbe Update schließt sechs weitere SonicOS-Lücken, darunter zwei mit CVSS 8,8; als ausgenutzt gelistet ist nur diese.
Regulatorischer Hinweis: Ein unbefugter VPN-Zugriff kann ein meldepflichtiger Sicherheitsvorfall sein – NIS-2 nach den für Sie geltenden Fristen, DSGVO bei personenbezogenen Daten unverzüglich (i. d. R. 72 h). Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit klären, patchen, Anmeldungen prüfen.
7.3.4-7013 (Gen7) bzw. 8.2.3-8015 (Gen8) oder neuer aktualisieren. Einen Workaround nennt SonicWall nicht.Zur Einordnung: Das sind allgemeine Prüfansätze von Argos, abgeleitet aus der Fehlerbeschreibung, keine bestätigten Indikatoren. Zeitraum, Angreifer und Umfang der Ausnutzung sind nicht veröffentlicht. Ein unauffälliges Ergebnis schließt einen Zugriff daher nicht aus.
Wichtig: Der Patch schließt die Lücke, widerruft aber keine bereits entwendeten Zugangsdaten und klärt keinen erfolgten Zugriff auf. Die Anmeldungen vor dem Update gehören deshalb mit auf den Prüfplan.
SonicWall SNWLID-2026-0014 · CVE-Record · NVD · CISA KEV (06.11.2026, Frist 20.11.2026) · BleepingComputer. Stand 07.11.2026 – gegen das Hersteller-Advisory abgleichen.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
SonicWall hat zu dieser Schwachstelle keine Kompromittierungs-Indikatoren veröffentlicht. Deshalb gehört geprüft, ob sie bei Ihnen bereits gegriffen hat, gerade anhand der VPN-Anmeldungen. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: SSL-VPN-Anmeldungen ohne passendes Ereignis am Identity Provider. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.