Lỗ hổng SonicWall SSLVPN cho phép vượt xác thực đa yếu tố SAML đang bị khai thác, CISA đưa vào danh mục KEV

Ngày 06/11/2026, Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đưa lỗ hổng CVE-2026-19868 của tường lửa SonicWall vào danh mục lỗ hổng đã bị khai thác (KEV), theo SecurityOnline. Lỗ hổng nằm trong tính năng SSLVPN của hệ điều hành SonicOS: một người dùng có thông tin đăng nhập hợp lệ của một phương thức đăng nhập khác có thể bỏ qua các bước kiểm tra SAML, kể cả quy tắc xác thực đa yếu tố (MFA) cấu hình qua SAML. Đây là một trong bảy lỗ hổng SonicOS được công bố cùng đợt, và là lỗ hổng duy nhất đã xác nhận bị khai thác thực tế.

Phạm vi ảnh hưởng

Lỗ hổng chỉ ảnh hưởng khi SAML được bật cho đăng nhập SSLVPN. Các phiên bản bị ảnh hưởng gồm SonicOS Gen7 từ 7.3.3-7015 trở về trước và Gen8 từ 8.2.2-8015 trở về trước, kể cả các máy ảo NSv. Bản sửa nằm ở nhánh SonicOS 7.3.4 (Gen7) và 8.2.3 (Gen8) trở lên. Do số build trong bài báo chưa thống nhất, quản trị viên nên đối chiếu chính xác với khuyến cáo SNWLID-2026-0014 của SonicWall trước khi nâng cấp.

SonicWall cho biết không có biện pháp tạm thời nào, cập nhật phần mềm là cách khắc phục duy nhất. Bài báo chưa mô tả chi tiết chiến dịch tấn công đứng sau.

Sáu lỗ hổng còn lại trong đợt

Cùng đợt công bố còn có sáu lỗ hổng chưa ghi nhận bị khai thác: hai lỗi mức High (8.8) liên quan kiểm tra IP của phiên và chính sách cross-domain lỏng lẻo, một lỗi tràn bộ đệm heap trong SSL-VPN, hai lỗi tràn bộ đệm ở client TACACS+ và một lỗi băm yếu với mật khẩu giới hạn. Tổng cộng có 4 lỗi mức High và 3 lỗi mức Medium. Việc nâng cấp một lần sẽ xử lý được cả nhóm.

Vì sao lỗi vượt MFA nguy hiểm

MFA là lớp bảo vệ quan trọng nhất của cổng VPN, vì mật khẩu người dùng thường đã lộ qua các vụ rò rỉ hoặc mã độc đánh cắp thông tin. Khi MFA bị vượt qua, một mật khẩu bị lộ là đủ để kẻ tấn công vào thẳng mạng nội bộ. Cổng VPN và tường lửa biên vì vậy luôn là mục tiêu hàng đầu của các nhóm mã độc tống tiền. Ngoài cập nhật, SonicWall khuyến nghị quản trị viên đang dùng SAML cho SSLVPN rà soát nhật ký tìm các phiên đăng nhập đã bỏ qua bước kiểm tra MFA.

Góc nhìn NTEK

Tường lửa SonicWall được nhiều doanh nghiệp vừa và nhỏ, chi nhánh ngân hàng và cơ quan tại Việt Nam sử dụng làm cổng VPN cho nhân viên làm việc từ xa. Đơn vị nào đang bật SAML cho SSLVPN nên lên lịch nâng cấp ngay trong tuần, đồng thời kiểm tra nhật ký đăng nhập VPN thời gian gần đây. Về lâu dài, thiết bị biên cần được đưa vào quy trình quản lý lỗ hổng có theo dõi danh mục KEV, và nên cân nhắc mô hình truy cập Zero Trust để không phụ thuộc vào một cổng VPN duy nhất.

Nguồn: SecurityOnline