SonicWall (CVE-2026-19868): un fallo en la VPN SSL permite saltarse el MFA. Se está explotando; parchea antes del 20/11

El 6 de noviembre de 2026 SonicWall publicó el aviso SNWLID-2026-0014, que corrige siete fallos de SonicOS, el sistema de sus firewalls. El más grave, CVE-2026-19868, afecta a la VPN SSL y permite saltarse el doble factor (MFA). Ese mismo día la agencia estadounidense CISA lo incluyó en su lista de vulnerabilidades que se están explotando de verdad y fijó el 20 de noviembre como fecha límite para que sus organismos lo corrijan. SonicWall dice que no hay solución alternativa: la única forma de cerrarlo es actualizar el firmware.

El doble factor no falló: nunca llegó a pedirse. Si tu VPN de SonicWall usa SAML, hay que actualizar ya; no hay parche de configuración que valga.

Qué pasa exactamente

Conviene precisar qué es y qué no es, porque se ha contado de forma confusa. No es que cualquiera entre sin contraseña. El fallo afecta solo a la VPN SSL de SonicOS cuando está configurada para iniciar sesión con SAML, el sistema que suele imponer el segundo factor. En esa situación, alguien que tenga credenciales válidas de otro método de autenticación (uno alternativo que siga activo en el firewall) puede saltarse el control de SAML y, con él, el MFA que SAML obligaba a usar. Dicho de otro modo: el segundo factor que creías tener activo deja de pedirse.

SonicWall le da una gravedad de 7,1 sobre 10 (la base de datos del gobierno de EE. UU. la sube a 7,5). El fallo lo descubrió Ryan Harris, de The Electronic Office. De momento no se han publicado detalles del ataque ni indicadores concretos, pero CISA confirma que se está usando, así que la ventana para parchear es corta.

A quién afecta

Están afectados los firewalls SonicWall de generación 7 y 8, tanto los físicos (series TZ, NSa, NSsp) como los virtuales (NSv), con estas versiones de SonicOS:

Un matiz que SonicWall recalca: el fallo solo afecta si SAML está activado para el acceso por VPN SSL. Si tu VPN no usa SAML, este fallo concreto no te afecta, aunque el mismo parche cierra otros seis (entre ellos dos de la interfaz de administración con nota 8,8). Los firewalls de generación 6 no están en la lista, pero ya no tienen soporte y conviene sustituirlos.

Cómo saber si te afecta

Dos comprobaciones, ambas desde la administración del firewall: la versión de SonicOS, que aparece en el panel de estado del equipo, y si la VPN SSL usa SAML para iniciar sesión. Si es un Gen 7 por debajo de 7.3.4-7013 o un Gen 8 por debajo de 8.2.3-8015, y además tienes SAML en la VPN, trátalo como vulnerable y actualiza.

Qué hacer hoy

1. Actualiza el firmware. Es la única solución: Gen 7 a 7.3.4-7013 o superior, Gen 8 a 8.2.3-8015 o superior. No hay configuración que lo cierre sin actualizar. Programa una ventana de mantenimiento: la VPN se corta durante la actualización.
2. Revisa los accesos recientes a la VPN SSL. Busca inicios de sesión de usuarios que, en teoría, solo deberían entrar por SAML: son la señal de que alguien ha usado la vía alternativa.
3. Quita lo que no haga falta. Elimina cuentas locales sin uso y retira el acceso a la VPN SSL de los grupos que deberían entrar solo por SAML. Esto reduce las vías alternativas que el fallo aprovecha.
4. No dejes la administración del firewall expuesta a internet. El panel de gestión solo debería ser accesible desde la red interna, nunca abierto, sobre todo porque el mismo parche corrige dos fallos graves de esa interfaz.

Si crees que pudiste estar expuesto

Un firewall con la VPN SSL accesible desde internet, con SAML y con cuentas de otros métodos de autenticación activas, ha estado en riesgo real estos días. Además de actualizar, cambia las contraseñas de las cuentas que pudieran usarse para entrar, revisa si hay sesiones o usuarios de VPN que no reconozcas y vigila los accesos a la red interna desde la VPN. Como aún no hay indicadores públicos del ataque, lo prudente es asumir que cualquier acceso raro de estos días merece una mirada.

Conclusión práctica

Este caso deja un aviso incómodo: tener MFA no basta si el sistema que lo impone se puede rodear. El doble factor sigue siendo imprescindible (es lo que frena el robo de contraseñas por phishing), pero hay que mantener actualizado el equipo que lo aplica y no dejar puertas de entrada alternativas abiertas por comodidad.

Si tu empresa tiene un firewall SonicWall con VPN para el teletrabajo y no sabes qué versión lleva ni cómo está configurado el acceso, lo revisamos contigo, lo actualizamos en una ventana acordada y dejamos la VPN y la administración bien cerradas.

Fuentes

Información actualizada a 9 de noviembre de 2026.

• SonicWall PSIRT: aviso SNWLID-2026-0014 (plataformas afectadas y versiones corregidas)
• BleepingComputer: el fallo se explota, versiones y descubridor
• Help Net Security: solo afecta con SAML activo; sin solución alternativa
• CISA: catálogo de vulnerabilidades explotadas (fecha límite 20/11)
• INCIBE-CERT (vía Moncloa): aviso INCIBE-2026-844 para España