SonicWall, SonicOS SSL-VPN servisinde bulunan ve SAML tabanlı kimlik doğrulama ile çok faktörlü doğrulamayı atlatmaya izin verebilen bir açığı yüksek riskli zafiyetler arasına ekledi. Şirket, CVE-2026-19868 olarak izlenen açıkla ilgili potansiyel istismar sinyalleri aldığını ve inceleme yürüttüğünü açıkladı.
Açık, SonicOS’ta alternatif bir kimlik doğrulama yöntemi için geçerli kimlik bilgilerine sahip bir kullanıcının SAML kontrollerini aşabilmesine dayanıyor. SonicWall’ın cuma günü yayımladığı uyarıda, başarılı bir istismarın SAML ile zorlanan MFA katmanını da devre dışı bırakabileceği belirtildi. Zafiyet için CVSS puanı 7.1 / 7.5 olarak verildi. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-19868
Şirket, güncelleme çağrısı yapıyor
SonicWall, “bu zafiyetin potansiyel olarak istismar edildiğine işaret eden bir raporu” incelediğini doğruladı ancak saldırının nasıl yürütüldüğüne ya da arkasında kimin bulunduğuna dair ayrıntı paylaşmadı. Şirket, müşterilerden mümkün olan en kısa sürede en güncel sürüme geçmelerini istedi.
Aynı yama paketinde SonicWall üç yüksek önem dereceli açığı daha kapattı. Bunlardan CVE-2026-107155, SonicOS yönetim arayüzündeki fazla izin veren bir cross-domain policy hatası olarak tanımlandı ve belirli koşullarda uzaktaki kimliği doğrulanmamış bir saldırganın yetkisiz işlem yapmasına yol açabiliyor. CVE-2026-107154 ise yine yönetim arayüzünde yer alan bir oturum doğrulama zafiyeti; bu açık da aynı koşullarda yetkisiz işlemlere kapı aralayabiliyor. Her iki zafiyet için de CVSS puanı 8.8. NVD bağlantıları: https://nvd.nist.gov/vuln/detail/CVE-2026-107155 ve https://nvd.nist.gov/vuln/detail/CVE-2026-107154
Üçüncü açık CVE-2026-82308 olarak izleniyor. SonicOS SSL-VPN servisindeki bu ön kimlik doğrulama heap tabanlı buffer overflow hatası, uzaktaki kimliği doğrulanmamış bir saldırganın uygulama seviyesinde hizmet dışı bırakma durumu yaratmasına neden olabiliyor. Bu zafiyetin CVSS puanı 7.5. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-82308
Takvim ve eski sistem uyarısı
ABD federal sivil yürütme organı kurumlarına, ağlarını bu tehdide karşı korumak için yamaları 20 Kasım 2026’ya kadar uygulamaları tavsiye edildi. Gelişme, SonicWall’ın kullanım ömrü dolan Global Management System (GMS) platformlarında düzeltilmemiş iki açığı ayrı ayrı duyurmasından günler sonra geldi. CVE-2026-109593 ve CVE-2026-109594 olarak izlenen bu sorunlar için şirket, müşterilere Network Security Manager’a geçiş çağrısı yapmıştı.
SonicWall’ın son duyurusu, VPN ve yönetim arayüzü bileşenlerinde kimlik doğrulama zincirinin ne kadar hassas olduğunu bir kez daha ortaya koydu. Şirketin yayımladığı yamalar, hem erişim kontrolünü aşabilecek hem de hizmet kesintisine neden olabilecek birden fazla zafiyeti aynı anda kapatıyor.