SonicWall dicht zeven lekken in SonicOS voor Gen7 en Gen8-firewalls
SonicWall heeft zeven kwetsbaarheden opgelost in SonicOS. De belangrijkste is CVE-2026-19868 (CVSS 7,1): een fout in de handhaving van authenticatie binnen de SSL‑VPN-module. Wie geldige inloggegevens heeft voor een ándere aanmeldmethode, kan onder specifieke voorwaarden de SAML‑authenticatie omzeilen – en daarmee ook MFA die via SAML wordt afgedwongen. Deze kwetsbaarheid is gemeld als actief misbruikt en staat sinds 6 november 2026 in CISA’s Known Exploited Vulnerabilities‑catalogus; Amerikaanse overheidsinstanties kregen een remediatiedeadline van 20 november. Patchen heeft dus prioriteit. (securityweek.com)

Welke versies zijn geraakt – en welke update heb je nodig?

• Gen7: kwetsbaar vanaf 7.3.3‑7015 en ouder; gefixt in 7.3.4‑7013 en nieuwer (verspreid vanaf 20 oktober 2026/5 november 2026).
• Gen8: kwetsbaar vanaf 8.2.2‑8015 en ouder; gefixt in 8.2.3‑8015 (vrijgegeven op 6 november 2026).
  SonicWall raadt aan zo snel mogelijk te upgraden naar deze builds. Voor Gen6‑apparatuur zijn geen fixes meer: die is end‑of‑support. (sonicwall.com)

Twee beheerinterface‑lekken met hoge impact

• CVE-2026-107154 (CVSS 8,8): fout in sessievalidatie.
• CVE-2026-107155 (CVSS 8,8): te permissief cross‑domain‑beleid.
  In specifieke omstandigheden kan een externe, niet‑geauthenticeerde aanvaller zo ongeautoriseerde acties uitvoeren. Er is wel gebruikersinteractie nodig. (app.opencve.io)

DoS‑risico in SSL‑VPN

• CVE-2026-82308 (CVSS 7,5): een pre‑auth heap‑based buffer overflow in de SSL‑VPN‑functionaliteit kan leiden tot een application‑level denial‑of‑service. (app.opencve.io)

Overige drie kwetsbaarheden

• Twee buffer‑overflows in de TACACS+‑authenticatieclient (pre‑auth DoS; o.a. CVE‑2026‑77708 en CVE‑2026‑77709).
• Zwakke wachtwoordhashing op virtuele SonicOS‑appliances (CVE‑2026‑19703), waardoor een aanvaller met bestaande lokale toegang een platformcredential kan achterhalen. (app.opencve.io)

Nederlandse context
Het NCSC (Nederland) waarschuwde op 9 november 2026 voor actief misbruik en adviseert organisaties met Gen7‑ of Gen8‑firewalls de updates direct te installeren. Dat advies sluit aan op de internationale duiding dat er geen praktische workarounds zijn voor het SAML‑lek: updaten is de maatregel. (ncsc.nl)

Waarom dit ertoe doet
SSL‑VPN is voor veel organisaties de voordeur naar het netwerk. SAML + MFA moet gestolen wachtwoorden onbruikbaar maken. Juist daarom is CVE‑2026‑19868 riskant: inlogpogingen die een alternatieve methode gebruiken, kunnen buiten de SAML‑flow om worden geaccepteerd. Als je SAML voor SSL‑VPN gebruikt én nog niet op de gefixte versies zit, behandel dit als een spoedklus. (securityweek.com)

Wat je nu het beste doet

• Check je versie: zit je op Gen7 7.3.3‑7015 (of ouder) of Gen8 8.2.2‑8015 (of ouder)? Plan direct de upgrade naar 7.3.4‑7013+ (Gen7) of 8.2.3‑8015 (Gen8). (sonicwall.com)
• Gebruik je SAML voor SSL‑VPN? Vergelijk recente VPN‑logins met je IdP‑logs (Okta/Entra ID e.d.). Let op VPN‑sessies zonder bijbehorende SAML‑aanmelding/MFA‑hit. Reset betrokken accounts en onderzoek wat er via die sessies is gedaan. (helpnetsecurity.com)
• Beperk aanvalsvlak: stel beheerinterfaces niet open op het internet en beperk SSL‑VPN‑toegang tot vertrouwde IP’s waar mogelijk. Volg de hardening‑richtlijnen van SonicWall/NCSC. (ncsc.nl)
• Plan onderhoud voor TACACS+: ook als je alleen DoS‑impact verwacht, kan uitval van authenticatie diensten verstoren. Updaten voorkomt verrassingen. (app.opencve.io)

Kerncijfers op een rij

• Actief misbruikt: ja (CVE‑2026‑19868), toegevoegd aan CISA KEV op 6 november 2026; federale deadline 20 november 2026. (securityweek.com)
• Geen workaround voor het SAMDe kans op misbruik van deze kwetsbaarheid is laag en de schade is gemiddeldFA‑lek; patch vereist. (helpnetsecurity.com)
• Fixes: Gen7 vanaf 7.3.4‑7013; Gen8 8.2.3‑8015. (sonicwall.com)

Tot slot
Installeer de updates zo snel mogelijk en controleer actief je VPN‑ en IdP‑logs. Een kleine tijdsinvestering nu voorkomt een groot incident later. (ncsc.nl)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.