SonicWall SSL-VPN (CVE-2026-19868): wat je nu moet doen

Stand van zaken op 9 november 2026

SonicWall heeft op 6 november 2026 een actief misbruikte kwetsbaarheid in SonicOS gepatcht. Met CVE-2026-19868 kunnen aanvallers de MFA-stap op de SSL-VPN overslaan, zodat een gelekt wachtwoord genoeg is voor toegang. De CVSS-score is 7,1. Alleen SonicOS SSL-VPN-diensten die SAML-authenticatie gebruiken zijn kwetsbaar. Er is geen workaround: patchen is de oplossing, en die is al beschikbaar.

Wat je nu moet doen

1. Inventariseer: kijk of je een SonicWall Gen7- of Gen8-firewall hebt met SSL-VPN en SAML. Vraag het ook aan je IT-leverancier als die de firewall beheert.

2. Patch naar 7.3.4-7013 (Gen7) of 8.2.3-8015 (Gen8) en controleer daarna het versienummer. De firmware haal je op via MySonicWall.

3. Controleer de logs: zoek naar SSL-VPN-logins zonder bijbehorende aanmelding bij je identiteitsprovider. Loop de afgelopen 30 dagen na, zoals ook analisten van Decryption Digest adviseren.

4. Wijzig wachtwoorden van lokale accounts, LDAP-servicekoppelingen en RADIUS-geheimen als je misbruik niet kunt uitsluiten.

5. Beperk alternatieve inlogmethodes op de SSL-VPN tot wat echt nodig is. Dit is een aanvullende maatregel en geen vervanging van de patch.

Zet SAML niet uit als noodgreep. Dan verdwijnt MFA volledig van de VPN-logins en wordt het risico groter.

Welke SonicOS-versies en modellen kwetsbaar zijn

• Kwetsbaar: SonicOS Gen7 7.3.3-7015 en eerder, en Gen8 8.2.2-8015 en eerder.

• Modellen: Gen7 TZ, NSa, NSsp en NSv, en Gen8 TZ, NSa en NSv, zo meldt CloudLinkTech.

• Veilig: 7.3.4-7013 en 8.2.3-8015, en SSL-VPN-diensten zonder SAML-authenticatie. Wie de update al heeft geïnstalleerd, is niet geraakt.

Bij Ratho zien we dat dit risico het grootst is bij bedrijven die SAML-login met Entra ID of Okta combineren met lokale, LDAP- of RADIUS-accounts op dezelfde firewall. Daarbij loopt een inlog die via de identiteitsprovider en MFA had moeten gaan, met alleen een wachtwoord toch door. Je identiteitsprovider logt dat niet en je MFA-app geeft geen melding, dus je merkt het niet aan de gebruikelijke signalen.

Wat er gebeurd is rond CVE-2026-19868

• Op vrijdag 6 november 2026 publiceerde SonicWall advies SNWLID-2026-0014 en bracht de patch uit. Het advies verhelpt zeven kwetsbaarheden in SonicOS.

• Een aanvaller met geldige inloggegevens voor een alternatieve inlogmethode kan de SAML-controle omzeilen. De wachtwoordstap blijft bestaan, dus de aanvaller heeft eerst een geldig wachtwoord nodig, zoals Ostorlab uitlegt. Gelekte, hergebruikte of gephishte wachtwoorden volstaan dan.

• SonicWall onderzoekt een melding van misbruik en vraagt klanten de nieuwste updates te installeren. Details en indicatoren van compromittering heeft SonicWall niet gedeeld.

• CISA nam de kwetsbaarheid op 6 november 2026 op in de Known Exploited Vulnerabilities-catalogus en eist dat Amerikaanse federale instanties hun systemen uiterlijk 20 november 2026 beveiligen. Dat is geen Nederlandse verplichting, maar wel een goede richtlijn: patch binnen twee weken, liefst veel eerder.

Bronnen

• SonicWall waarschuwt voor lek waarmee aanvallers MFA van SSL-VPN omzeilen (Security.nl)

• SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks (BleepingComputer)

• Exploited SonicWall SSL-VPN flaw lets attackers bypass SAML-enforced MFA (Help Net Security)

• CVE-2026-19868: CISA Flags Exploited SonicWall SSLVPN SAML and MFA Bypass (WindowsForum)