SonicWall: פרצה ב-SSL-VPN של חומות האש עוקפת אימות דו-שלבי, וכבר מנוצלת
SonicWall תיקנה שבע חולשות ב-SonicOS. אחת מהן, CVE-2026-19868, מאפשרת לעקוף את התחברות ה-SAML וה-MFA ב-SSL-VPN, ו-CISA מאשרת ניצול בפועל.
TL;DR בקצרה
- החולשה CVE-2026-19868 פוגעת רק בחומות אש של SonicWall שבהן ה-SSL-VPN מוגדר להתחברות דרך SAML.
- תוקף עם פרטי גישה תקפים לשיטת התחברות אחרת יכול לעקוף את SAML, ואיתו גם את האימות הדו-שלבי.
- CISA הוסיפה את החולשה לרשימת החולשות המנוצלות, והגרסאות המתוקנות הן 7.3.4-7013 ו-8.2.3-8015.
- אין דרך עקיפה זמנית. צריך לעדכן את הקושחה ולבדוק את יומני ההתחברות של ה-VPN.
חברת SonicWall פרסמה ב-6 בנובמבר הודעת אבטחה ועדכון למערכת ההפעלה של חומות האש שלה, SonicOS. העדכון סוגר שבע חולשות. אחת מהן, CVE-2026-19868, מאפשרת לעקוף את ההתחברות המאובטחת ל-SSL-VPN, כולל אימות דו-שלבי, ותוקפים כבר ניצלו אותה. סוכנות הסייבר האמריקאית CISA הוסיפה אותה לרשימת החולשות המנוצלות שלה.
מה בדיוק מאפשרת הפרצה ב-SonicWall
ארגונים רבים מחברים את ה-VPN של חומת האש למערכת זהויות כמו Microsoft Entra ID או Okta. החיבור נעשה בפרוטוקול SAML, תקן שמעביר את ההזדהות לספק חיצוני. היתרון ברור: העובד נכנס עם החשבון הארגוני, ושם נאכף גם האימות הדו-שלבי (MFA).
לפי SonicWall, משתמש שיש לו פרטי גישה תקפים לשיטת התחברות חלופית יכול לדלג על בקרות ה-SAML. במצב כזה גם ה-MFA שנאכף דרך SAML לא עוצר אותו. בפועל, שם משתמש וסיסמה מקומיים, למשל חשבון ישן שנשכח בחומת האש, עלולים להספיק כדי להיכנס לרשת.
החולשה קיבלה ציון חומרה 7.1 מתוך 10. היא פוגעת רק בשירות ה-SSL-VPN, ורק כשההתחברות אליו עוברת דרך SAML. החולשה התגלתה בידי Ryan Harris מחברת The Electronic Office.
עוד שש חולשות באותו עדכון
העדכון של SonicWall מתקן גם שתי חולשות בממשק הניהול, בציון 8.8. לדברי החברה, בתנאים מסוימים הן עלולות לאפשר לתוקף לא מזוהה לבצע פעולות בלי הרשאה. יש גם שלוש חולשות של גלישת זיכרון, ב-SSL-VPN וברכיב ההזדהות TACACS+, שעלולות להפיל את השירות. החולשה השביעית היא שמירת סיסמה חלשה במכונות וירטואליות של החברה.
הגרסאות הפגיעות הן Gen7 בגרסה 7.3.3-7015 ומטה, ו-Gen8 בגרסה 8.2.2-8015 ומטה. הרשימה כוללת את סדרות TZ, NSa ו-NSsp, וגם את מכונות NSv בענן ובשרתים וירטואליים. התיקון זמין בגרסאות 7.3.4-7013 ו-8.2.3-8015. SonicWall מציינת שאין דרך עקיפה זמנית.
למה חומות האש של SonicWall מעניינות תוקפים
חומות האש מסדרת TZ מיועדות בעיקר לעסקים קטנים ובינוניים. הן יושבות בקצה הרשת, ודרכן העובדים מתחברים מהבית. מי שעובר אותן מגיע ישר לשרתים, לקבצים המשותפים ולמערכות הכספים.
זה גם לא אירוע בודד. בחודשים האחרונים תוקפים ניצלו כמה פרצות יום אפס במכשירי הגישה המרחוק SMA1000 של החברה. מדובר בחולשות שתוקפים ניצלו עוד לפני שהיה להן תיקון. ב-CISA הורו לגופי הממשל הפדרלי לתקן את החולשה החדשה עד 20 בנובמבר 2026. לחברות פרטיות אין מועד מחייב, אבל ההנחיה מלמדת עד כמה הסיכון מוחשי.
כדאי לשים לב לנקודה אחת. הרבה מנהלי רשת מרגישים מוגנים ברגע שהפעילו MFA. הפרצה הזאת מזכירה ש-MFA חזק רק כמו שיטת ההתחברות החלשה ביותר שנשארה פתוחה במערכת.
מה זה אומר עבורכם
- בדקו באיזו גרסת SonicOS פועלת חומת האש שלכם, ועדכנו ל-7.3.4-7013 (Gen7) או ל-8.2.3-8015 (Gen8).
- אם ה-SSL-VPN שלכם עובד עם SAML, עברו על כל חשבונות המשתמש המקומיים בחומת האש. מחקו חשבונות ישנים והחליפו סיסמאות.
- עברו על יומני ההתחברות של ה-VPN מהשבועות האחרונים. חפשו כניסות לא מוכרות, בשעות חריגות או ממדינות זרות.
- הגבילו את הגישה לממשק הניהול של חומת האש לכתובות פנימיות בלבד, ואל תחשפו אותו לאינטרנט.
- אם ספק חיצוני מנהל עבורכם את חומת האש, בקשו ממנו אישור בכתב שהעדכון הותקן.
מה הלאה
SonicWall לא מסרה פרטים על התקיפה שדווחה לה, וגם לא את מספר הארגונים שהתקיפה פגעה בהם. ב-CISA ציינו שלא ידוע אם החולשה שימשה בתקיפות כופר. אם יתפרסמו סימני תקיפה, כדאי לבדוק אותם מול היומנים שלכם.
מקורות והרחבה
- SonicWall SonicOS Affected By Multiple Vulnerabilities (SNWLID-2026-0014)SonicWall PSIRT
- SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacksBleepingComputer
- Known Exploited Vulnerabilities CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
