Un fallo en la SSL-VPN de SonicWall puede evitar el MFA
CISA confirma ataques contra un fallo de SonicOS que puede saltarse el inicio de sesión SAML y el MFA de la VPN. A quién afecta y qué hacer esta semana.
Si el firewall de su oficina es SonicWall y su personal se conecta por su SSL-VPN, este aviso requiere atención inmediata. El 6 de noviembre de 2026, SonicWall publicó correcciones para siete vulnerabilidades de SonicOS y, ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) incluyó una de ellas, CVE-2026-19868, en su catálogo de vulnerabilidades explotadas. Esa inclusión significa que CISA tiene pruebas de ataques reales. Las agencias federales tienen hasta el 20 de noviembre para corregirla. Esa fecha no obliga a su empresa, pero es un límite razonable.
Qué ha pasado
Según BleepingComputer, el fallo permite que un atacante con credenciales válidas de otro método de inicio de sesión evite la autenticación SAML de la SSL-VPN, y posiblemente también la verificación en varios pasos que SAML exige. Tiene una puntuación de 7,1 sobre 10 y solo afecta a los servicios SSL-VPN configurados con inicio de sesión SAML. SonicWall se expresa con más cautela: dice que investigó un informe de posible explotación y no ha dado detalles de los ataques.
Dicho de forma sencilla: una contraseña de VPN robada o antigua podría bastar, aunque usted creyera que cada acceso pedía además un código en el teléfono. Por eso importa aunque la puntuación parezca moderada. Muchas pequeñas empresas añadieron inicio de sesión único y MFA a su VPN justamente para que una contraseña filtrada no fuera suficiente.
La misma actualización corrige otros seis problemas, entre ellos dos fallos de la interfaz de administración con puntuación 8,8 que no requieren iniciar sesión, y desbordamientos de búfer en los servicios SSL-VPN y TACACS+ que podrían dejarlos fuera de servicio.
¿Le afecta?
El aviso de SonicWall indica estas versiones, tanto para firewalls físicos como virtuales:
- Gen 7: afecta a SonicOS 7.3.3-7015 y anteriores. Actualice a 7.3.4-7013 o posterior. La compilación 7.3.4-7015 salió el 5 de noviembre.
- Gen 8: afecta a SonicOS 8.2.2-8015 y anteriores. Actualice a 8.2.3-8015.
- Gen 6 y anteriores: estos modelos ya no tienen soporte ni reciben firmware. SonicWall recomienda sustituirlos.
SonicWall indica que no hay soluciones alternativas, así que la corrección es actualizar.
Qué debería hacer su empresa esta semana
- Averigüe qué equipo tiene. Anote el modelo del firewall, la versión de SonicOS y si la SSL-VPN usa SAML. Si una empresa externa lo administra, pregúntele directamente y pida la respuesta por escrito.
- Exporte la configuración y actualice. Una actualización de firmware reinicia el firewall, lo que corta brevemente internet y la VPN. Elija un momento tranquilo y asegúrese de que alguien pueda acceder al equipo si no vuelve a arrancar bien.
- Depure las cuentas de VPN. Elimine las de antiguos empleados y proveedores, y las cuentas locales que nadie use. Cambie las contraseñas de las que conserve, sobre todo si se repiten en otros servicios.
- Revise los registros. Busque accesos a horas extrañas, desde países inesperados o con cuentas que deberían estar inactivas. Guarde lo sospechoso antes de modificar nada.
- Saque la interfaz de administración de internet. Con dos fallos graves en esa zona, limite la administración del firewall a su red interna o a una lista corta de direcciones de confianza.
Actualizar cierra la brecha, pero no expulsa a un intruso que ya hubiera entrado. Si los registros no cuadran, trátelo como un posible incidente, no como una simple tarea de mantenimiento.
La lección de fondo
El firewall es el equipo que todas las empresas dan por seguro y que casi nunca se actualiza. Inclúyalo en el mismo calendario que sus computadoras y asigne a una persona responsable. Nuestro servicio de gestión de parches cubre esa rutina, y el de instalación y gestión de redes incluye firewalls y acceso por VPN.
¿No sabe qué firmware tiene o si sus registros de VPN son normales? Llame al (213) 986-4855 o consulte nuestra página de ciberseguridad.