Ein Unternehmen schützt seinen VPN-Zugang mit Multi-Faktor-Authentifizierung – und geht davon aus, dass ein gestohlenes Kennwort allein nicht reicht. Bei bestimmten SonicWall-Firewalls lässt sich genau diese Annahme jedoch aushebeln. Die neue Sicherheitslücke CVE-2026-19868 ermöglicht unter bestimmten Voraussetzungen, die SAML-Anmeldung zu umgehen – und damit auch eine darüber erzwungene MFA.
Besonders brisant: Die US-Sicherheitsbehörde CISA führt die Schwachstelle seit dem 6. November 2026 als aktiv ausgenutzt. SonicWall hat inzwischen korrigierte Firmware für Firewalls der Generationen 7 und 8 veröffentlicht. Wir erklären, welche Systeme betroffen sind, wie die Lücke funktioniert und was Administratoren jetzt tun sollten.
SonicWall CVE-2026-19868: Was ist passiert?
SonicWall veröffentlichte am 3. November 2026 zunächst eine Sicherheitsmitteilung zu mehreren Schwachstellen in SonicOS. Am 6. November wurde der Hinweis aktualisiert und das Security Advisory SNWLID-2026-0014 mit den konkreten Sicherheitslücken veröffentlicht.
Insgesamt ging es um sieben Schwachstellen. CVE-2026-19868 sticht dabei besonders hervor, weil sie genau die Sicherheitskontrolle betrifft, auf die viele Unternehmen beim Fernzugriff auf ihr internes Netz setzen.
Die Schwachstelle befindet sich im SSL-VPN-Dienst von SonicOS. Verwendet ein Unternehmen dort SAML als Anmeldeverfahren, kann ein Angreifer mit gültigen Zugangsdaten für eine andere Authentifizierungsmethode möglicherweise die vorgesehenen SAML-Kontrollen umgehen.
Damit kann unter Umständen auch die über den SAML-Identitätsanbieter erzwungene Multi-Faktor-Authentifizierung umgangen werden.
| Merkmal | Bestätigte Informationen |
|---|---|
| Schwachstelle | CVE-2026-19868 |
| Hersteller | SonicWall |
| Betroffene Komponente | SonicOS SSL-VPN mit SAML |
| Advisory | SNWLID-2026-0014 |
| Offenlegung | 6. November 2026 |
| CVSS-Bewertung | 7,5 nach CVSS v3.1, CISA ADP |
| Schweregrad | Hoch |
| Aktive Ausnutzung | Durch CISA KEV bestätigt |
| CISA-Aufnahme | 6. November 2026 |
| Behobene SonicOS-Versionen | 7.3.4-7013 beziehungsweise 8.2.3-8015 oder geeignete neuere Versionen |
Die CVSS-Bewertung von 7,5 bezieht sich auf CVE-2026-19868. Im gesamten SonicWall-Advisory erreichen andere Schwachstellen bis zu 8,8 Punkte. Die Bewertungen dürfen deshalb nicht miteinander verwechselt werden.
SonicOS Sicherheitsupdates für Gen 7 und Gen 8
SonicWall stellt korrigierte Firmwareversionen für betroffene Firewalls bereit. Prüfe die installierte SonicOS-Version und aktualisiere Dein Gerät auf einen geeigneten, vom Hersteller freigegebenen Firmwarestand.
So erhältst Du die passende Firmware
Melde Dich mit Deinem Kundenkonto bei MySonicWall an. Öffne den Firmwarebereich Deines registrierten Geräts und lade die passende SonicOS-Version herunter. Der Download kann ein berechtigtes Kundenkonto erfordern. Die Dateigröße hängt vom Modell und Firmwarepaket ab.
Wichtig: Installiere ausschließlich eine für Dein SonicWall-Modell freigegebene Firmware. Sichere vorher die Firewallkonfiguration und plane gegebenenfalls einen Neustart ein. SonicOS wird nicht über Windows Update verteilt. Es gibt deshalb keine Microsoft-KB-Nummer und keinen Download über den Microsoft Update Catalog.
Wie können Angreifer die VPN-MFA umgehen?
Viele Unternehmen setzen für ihre VPN-Zugänge auf einen zentralen Identitätsanbieter, etwa Microsoft Entra ID. Die Anmeldung läuft dann oft über SAML: Der Anwender wird zunächst zum Identitätsanbieter weitergeleitet, dort findet die eigentliche Identitätsprüfung statt – und bei Bedarf eine zusätzliche MFA-Abfrage. Erst danach bekommt er Zugriff auf das VPN.
Bei CVE-2026-19868 lässt sich diese Schutzkette unter bestimmten Bedingungen umgehen. Voraussetzung ist allerdings, dass der Angreifer bereits gültige Zugangsdaten für eine andere auf dem System nutzbare Anmeldemethode besitzt. Es geht also nicht um einen allgemeinen Zugang ohne Kennwort. Die Schwachstelle liegt vielmehr darin, dass die vorgesehene SAML-Authentifizierung nicht ausreichend durchgesetzt wird.
Warum ist das für Microsoft-Entra-Umgebungen gefährlich?
Wenn die Multi-Faktor-Authentifizierung ausschließlich über den SAML-Identitätsanbieter erzwungen wird, kann die Umgehung dieses Anmeldewegs dazu führen, dass auch die MFA-Prüfung entfällt.
Das bedeutet nicht, dass Microsoft Entra ID selbst eine Sicherheitslücke besitzt. Die Ursache liegt im betroffenen SonicOS-SSL-VPN-Dienst.
Warum eine sichere Anmeldung und möglichst widerstandsfähige Authentifizierungsverfahren wichtig sind, erläutern wir auch im Beitrag Microsoft Entra: SMS-Anmeldung wird durch Passkeys ersetzt.
Welche SonicWall-Firewalls sind betroffen?
Die Sicherheitswarnung betrifft Firewalls der SonicWall-Generationen 7 und 8. Dazu gehören sowohl physische Geräte als auch entsprechend eingesetzte virtuelle Firewalls.
Für CVE-2026-19868 ist zusätzlich entscheidend, ob SSL-VPN mit SAML-Authentifizierung eingerichtet wurde. Die übrigen Schwachstellen des Advisories können andere Voraussetzungen haben.
| Plattform | Betroffene Versionen | Sichere Firmware |
|---|---|---|
| SonicWall Gen 7 | SonicOS 7.3.3-7015 und älter | 7.3.4-7013 oder neuer |
| SonicWall Gen 8 | SonicOS 8.2.2-8015 und älter | 8.2.3-8015 |
Bei Gen 7 sind unter anderem die Produktfamilien TZ, NSa, NSsp und NSv relevant. Bei Gen 8 gehören TZ, NSa und NSv zu den betroffenen Produktfamilien.
Besonders wichtig ist der vollständige Firmwarestand. Eine Hauptversionsnummer wie SonicOS 7 allein reicht nicht aus, um festzustellen, ob das Sicherheitsupdate bereits installiert wurde.
Warum die SonicOS-Versionsnummern wichtig sind
Für Gen-7-Geräte gibt es SonicOS 7.3.4-7013 schon seit dem 20. Oktober 2026. Am 5. November hat SonicWall zusätzlich Version 7.3.4-7015 veröffentlicht. Die sichere Gen-8-Version 8.2.3-8015 war für den 6. November 2026 angekündigt und ist in den offiziellen Release Notes dokumentiert.
Für Administratoren heißt das: Schon ein vorhandener Firmwarestand kann die Lücke schließen – auch wenn die öffentliche CVE-Warnung erst später veröffentlicht wurde.
SonicWall bestätigt Sicherheitsupdates für sieben Schwachstellen
Neben CVE-2026-19868 umfasst das Advisory weitere Sicherheitsprobleme in SonicOS. Dazu gehören unter anderem Schwachstellen der Verwaltungsoberfläche, mögliche Denial-of-Service-Angriffe gegen bestimmte Netzwerkdienste und eine Schwäche bei der Kennwortspeicherung auf virtuellen Appliances.
Zwei Schwachstellen der Verwaltungsoberfläche erreichen jeweils einen CVSS-Wert von 8,8. Unter bestimmten Bedingungen können sie nicht autorisierte Aktionen ermöglichen.
Wichtig ist die Unterscheidung: Eine bestätigte aktive Ausnutzung liegt für CVE-2026-19868 vor. Dass auch die übrigen sechs Sicherheitslücken bereits aktiv angegriffen werden, ist damit nicht automatisch belegt.
Wie gefährlich exponierte VPN-Systeme grundsätzlich sein können, zeigt unser Beitrag Ivanti Connect Secure: Neue Zero-Days werden aktiv ausgenutzt.
CISA bestätigt Angriffe auf CVE-2026-19868
Am 6. November 2026 hat CISA die SonicWall-Schwachstelle in den Known Exploited Vulnerabilities Catalog aufgenommen. In diesem Verzeichnis stehen Sicherheitslücken, für die es Nachweise einer tatsächlichen Ausnutzung gibt. Es handelt sich also nicht nur um einen theoretischen Schwachstellenbericht.
Für betroffene US-Bundesbehörden gilt der 20. November 2026 als Frist, um die Lücke zu behandeln. Diese Vorgabe ist aber keine allgemeine gesetzliche Update-Frist für deutsche Unternehmen.
Trotzdem ist auch hierzulande eine zeitnahe Aktualisierung dringend zu empfehlen. Vor allem VPN-Zugänge, die direkt aus dem Internet erreichbar sind, sollten bei der Priorisierung ganz oben stehen.
Welche Angreifer die Schwachstelle nutzen, wie viele Systeme bereits kompromittiert wurden und ob Ransomware-Gruppen beteiligt sind, ist bislang nicht ausreichend öffentlich bestätigt.
SonicWall SonicOS aktualisieren: So gehst Du vor
Wenn Du eine betroffene SonicWall-Firewall administrierst, solltest Du zunächst die genaue Firmwareversion und die vorhandene VPN-Konfiguration überprüfen.
Schritt 1: Installierte Firmware ermitteln
- Melde Dich über den vorgesehenen sicheren Administrationsweg an Deiner SonicWall-Firewall an.
- Öffne die Systeminformationen beziehungsweise den Bereich für Firmware und Backups.
- Notiere bitte das genaue Firewallmodell und die SonicOS-Buildnummer.
- Vergleiche diese Angaben mit den betroffenen Versionsständen aus der Tabelle.
- Kontrolliere zusätzlich, ob SSL-VPN mit SAML-Authentifizierung verwendet wird.
Prüfe auch virtuelle SonicWall-Installationen, beispielsweise auf VMware, Hyper-V oder in einer Cloudumgebung. Eine virtuelle Firewall benötigt ebenso eine passende Sicherheitsaktualisierung wie eine physische Appliance.
Schritt 2: Firmware und Konfiguration sichern
Bevor Du das Update installierst, legst Du am besten eine aktuelle Sicherung der Konfiguration an und bewahrst sie geschützt auf.
Notiere außerdem, welche Firmwareversion gerade läuft, wie die VPN-Anmeldung konfiguriert ist und – falls vorhanden – wie es um die Hochverfügbarkeitsumgebung steht.
Plane ein passendes Wartungsfenster ein. Ein Firmwareupdate kann einen Neustart der Firewall nötig machen und bestehende Netzwerkverbindungen zeitweise unterbrechen.
Schritt 3: Korrigierte SonicOS-Version installieren
Hol Dir die passende Firmware über Dein MySonicWall-Konto. Nimm dabei ausschließlich die Version, die der Hersteller für Dein Modell freigegeben hat.
Bei Gen-7-Firewalls brauchst Du mindestens SonicOS 7.3.4-7013. Für Gen-8-Firewalls ist SonicOS 8.2.3-8015 die bestätigte korrigierte Version.
Installiert wird über die Firmwareverwaltung der SonicWall. Halte Dich dabei an die Herstellerhinweise für Deine Plattform. Vor allem bei virtuellen Appliances und Hochverfügbarkeits-Setups können zusätzliche Schritte nötig sein.
Schritt 4: VPN-Anmeldung überprüfen
Kontrolliere nach dem Update, ob die gewünschten VPN-Verbindungen weiterhin funktionieren. Teste dabei auch die Anmeldung über den vorgesehenen Identitätsanbieter und die konfigurierte Multi-Faktor-Authentifizierung.
Prüfe anschließend, welche alternativen Anmeldeverfahren für SSL-VPN noch aktiviert sind. Nicht mehr benötigte Methoden und Konten solltest Du nach vorheriger Überprüfung deaktivieren.
Grundlagen zur VPN-Einrichtung unter Windows findest Du auch in unserem Beitrag VPN unter Windows 11 einrichten: Was der integrierte Client nicht kann.
Was tun, wenn die SonicWall möglicherweise bereits angegriffen wurde?
Weil CVE-2026-19868 nachweislich ausgenutzt wird, sollte eine Sicherheitsprüfung nicht beim Firmwareupdate enden.
Kontrolliere insbesondere die SSL-VPN-Anmeldeprotokolle. Achte auf ungewöhnliche erfolgreiche Sitzungen, auffällige Quelladressen, unbekannte Konten und Anmeldungen, die nicht zu den erwarteten Ereignissen Deines Identitätsanbieters passen.
Wenn Du Microsoft Entra ID als SAML-Anbieter einsetzt, kann ein Vergleich mit den dortigen Anmeldeprotokollen hilfreich sein. Eine auffällige Abweichung ist zunächst ein Untersuchungshinweis und kein alleiniger Beweis für einen erfolgreichen Angriff.
Bei einem bestätigten Vorfall solltest Du betroffene Zugangsdaten ersetzen, verdächtige Sitzungen beenden und mögliche Zugriffe auf interne Systeme untersuchen.
Windows-Ereignisprotokolle können zusätzliche Hinweise auf ungewöhnliche Anmeldungen liefern. Unsere Anleitung Ereignisanzeige mit PowerShell auslesen erklärt, wie Du entsprechende Ereignisse untersuchen kannst.
Auch die Berechtigungen von Windows-Servern und internen Anwendungen sollten überprüft werden. Besonders kritisch sind Systeme, die über VPN ohne zusätzliche Einschränkungen erreichbar sind. Wie die Fernverwaltung von Windows-Systemen funktioniert, erklären wir unter Remotedesktopverbindung einrichten und absichern.
Gibt es einen Workaround ohne SonicOS-Update?
SonicWall nennt für die betroffenen Lücken keinen offiziellen Workaround, der das Firmwareupdate gleichwertig ersetzen könnte.
Ist eine sofortige Aktualisierung aus betrieblichen Gründen nicht möglich, solltest Du die Erreichbarkeit der betroffenen VPN-Dienste und der Verwaltungsoberfläche vorübergehend so weit wie möglich einschränken. Nicht zwingend benötigte Zugänge kontrolliert abzuschalten kann das Risiko senken – eine Sicherheitskorrektur ersetzt das aber nicht.
Solche Änderungen müssen zum jeweiligen Netzwerk passen und sorgfältig dokumentiert werden. Bei produktiven Firmenverbindungen solltest Du sie nicht ohne Prüfung durchführen.
Zusätzliche Schutzfunktionen auf den Windows-Endgeräten sind ebenfalls sinnvoll. Sie schließen die SonicOS-Sicherheitslücke jedoch nicht. Weitere Informationen findest Du in unserem Beitrag Windows-Sicherheit: So gut funktioniert der Schutz.
Aus der Administratorpraxis: MFA allein ist keine Sicherheitsgarantie
In vielen Unternehmen wird Multi-Faktor-Authentifizierung als besonders wichtige Sicherheitsmaßnahme betrachtet. Das ist grundsätzlich richtig. Allerdings muss sichergestellt sein, dass sämtliche relevanten Anmeldewege die vorgesehene Sicherheitskontrolle tatsächlich verwenden.
Wenn eine Firewall neben SAML noch ältere oder alternative Authentifizierungsverfahren akzeptiert, entsteht möglicherweise ein zusätzlicher Angriffspfad. Deshalb würde ich bei einer Sicherheitsprüfung nicht nur kontrollieren, ob MFA aktiviert ist, sondern auch, ob sie bei allen vorgesehenen VPN-Anmeldungen tatsächlich erzwungen wird.
Ein weiterer wichtiger Punkt ist der Schutz der Zugangsdaten auf den Windows-Endgeräten. Windows Credential Guard kann bestimmte gespeicherte Anmeldeinformationen schützen. Die Funktion ist jedoch kein Ersatz für eine korrekt konfigurierte VPN-Authentifizierung.
FAQ: Häufige Fragen zu CVE-2026-19868
Was ist CVE-2026-19868?
CVE-2026-19868 ist eine Sicherheitslücke im SonicOS-SSL-VPN-Dienst. Ein Angreifer mit gültigen Zugangsdaten für eine alternative Anmeldemethode kann unter bestimmten Voraussetzungen SAML-Sicherheitskontrollen und damit auch die darüber erzwungene MFA umgehen.
Wird die SonicWall-Sicherheitslücke aktiv ausgenutzt?
Ja. Die US-Sicherheitsbehörde CISA hat CVE-2026-19868 am 6. November 2026 in den Katalog nachweislich ausgenutzter Schwachstellen aufgenommen. Einzelheiten zu den beobachteten Angriffen sind nur eingeschränkt öffentlich bekannt.
Welche SonicWall-Versionen sind betroffen?
Betroffen sind SonicOS Gen 7 bis einschließlich 7.3.3-7015 und SonicOS Gen 8 bis einschließlich 8.2.2-8015. Für die konkrete SAML-Umgehung muss außerdem die betreffende SSL-VPN-Konfiguration verwendet werden.
Welche Firmware schließt CVE-2026-19868?
SonicWall nennt SonicOS 7.3.4-7013 oder neuer für Gen 7 und SonicOS 8.2.3-8015 für Gen 8 als korrigierte Versionen. Die vollständige Modellkompatibilität ist vor der Installation zu überprüfen.
Kann die Sicherheitslücke MFA vollständig umgehen?
Unter den beschriebenen Voraussetzungen kann die über SAML erzwungene MFA umgangen werden. Dafür benötigt der Angreifer allerdings gültige Zugangsdaten für eine alternative Authentifizierungsmethode. Nicht jede SonicWall-Firewall ist automatisch auf diesem Weg angreifbar.
Gibt es einen sicheren Workaround ohne Firmwareupdate?
SonicWall nennt keinen gleichwertigen offiziellen Workaround. Die empfohlenen Sicherheitsupdates sollten deshalb zeitnah installiert werden. Bis dahin können Zugriffsbeschränkungen die Angriffsfläche reduzieren.
Sind Windows 11 und Microsoft Entra ID selbst betroffen?
Die Sicherheitslücke befindet sich in SonicOS und nicht unmittelbar in Windows 11 oder Microsoft Entra ID. Unternehmen können jedoch indirekt betroffen sein, wenn Mitarbeitende über eine verwundbare SonicWall-Firewall auf ihre Windows-Systeme zugreifen.
Fazit: SonicWall-Firewalls jetzt überprüfen und aktualisieren
CVE-2026-19868 zeigt: Selbst eine aktive Multi-Faktor-Authentifizierung schützt nicht automatisch alle Anmeldewege. Akzeptiert ein VPN-Gateway zusätzlich alternative Authentifizierungsmethoden, entstehen daraus neue Risiken.
Da die Schwachstelle bereits aktiv ausgenutzt wird, sollten Unternehmen ihre SonicOS-Versionen zügig prüfen und die bereitgestellten Sicherheitsupdates einspielen.
Für Administratoren ist außerdem wichtig, die bisherigen VPN-Anmeldungen zu untersuchen und unnötige alternative Anmeldeverfahren abzuschalten. Das schließt nicht nur die aktuelle Lücke, sondern verbessert auch die allgemeine Sicherheit des Fernzugriffs.
Neueste Kommentare