全球知名网络安全与防火墙设备提供商SonicWall公司于2026年11月6日至7日向全球企业客户发布安全威胁公告。通报确认，旗下SonicOS操作系统中存在一个高危身份验证规避零日漏洞。该漏洞已被黑客组织在野外实际利用。通用漏洞披露编号为CVE-2026-19868。
官方技术说明确认，漏洞存在于SonicOS防火墙的SSL-VPN远程接入服务模块中。当设备启用安全断言标记语言（SAML）单点登录鉴权时，持有任意本地降级有效凭证的恶意攻击者可绕过SAML安全认证控制链。企业强制部署的多因素身份验证（MFA）会完全失效。
美国网络安全和基础设施安全局（CISA）已将漏洞列入「已知被利用漏洞目录」（KEV）。CISA向所有联邦行政机构下达了限期修补指令。全球广泛部署的Gen 7与Gen 8全系物理及虚拟防火墙均受波及。官方未提供任何临时规避方案。
漏洞评分与受影响组件
CVE-2026-19868的官方CVSS评分为7.1，属高危等级。评分信息来自美国国家标准技术研究所（NIST NVD）。漏洞发生在SonicOS的SSL-VPN模块。该模块启用SAML单点登录时触发漏洞。上述信息由知名黑客与安全媒体BleepingComputer报道。
攻击者仅需备用认证凭证即可绕过SAML。MFA强制鉴权随之失效。国际权威安全周刊SecurityWeek记录了该攻击条件与后果。受影响设备按代际划分修复版本。Gen7需升至7.3.4-7013。Gen8需升至8.2.3-8015。加拿大网络安全中心通告（Cyber Centre）列出了上述固件版本。
CISA将漏洞列入KEV必修清单。联邦机构须在11月20日前完成修补。该指令来自美国CISA官方安全预警（CISA KEV）。
漏洞使MFA失效的技术路径
在现代企业远程办公与混合工作架构中，SSL-VPN是员工从外网访问内网服务器的边界入口。多数企业强制启用基于SAML协议的联合单点登录。企业同时绑定动态验证码等多因素身份认证（MFA）。目的是防止弱口令泄露引发撞库风险。
SonicWall产品安全应急响应团队（PSIRT）调查客户现场安全事件时发现了问题。SonicOS系统的身份验证流转引擎存在逻辑判断漏洞。当SSL-VPN服务配置为使用SAML进行主认证时，系统可能同时保留本地用户数据库、LDAP目录服务或RADIUS等传统备用鉴权方式。系统内部代码未对鉴权会话状态实施严格的原子性闭环校验。
攻击者掌握某个低权限内部人员的本地静态账号密码即可发起攻击。攻击者在SSL-VPN握手时构造恶意的畸形认证请求包。防火墙底层服务会将该连接直接标记为「认证已完成」。整个过程不触发SAML跳转。MFA动态手机验证码也不会弹出。攻击者由此直接获取通往企业内网的完整网络隧道权限。
受波及的设备型号与修复版本
SonicWall官方安全通报详列了硬件受影响清单。本次漏洞波及面极其宽泛。受影响设备涵盖企业级边界网络的主流主力设备。
第七代（Gen 7）受影响设备包括TZ系列桌面级防火墙、NSa系列中高端园区防火墙以及NSsp大型数据中心级旗舰防火墙。这些设备运行SonicOS 7.3.3-7015及更早版本。第八代（Gen 8）全系新型号同样受影响。这些设备运行SonicOS 8.2.2-8015及更早版本。在VMware ESXi、KVM、AWS与微软Azure云平台上部署的NSv虚拟化防火墙也无一幸免。
SonicWall在公告的缓解方案一栏标注为「无临时变通方案」（Workaround: None）。企业安全运维团队无法通过关闭某个子端口或调整访问控制列表（ACL）抵御攻击。唯一的根除途径是升级固件。Gen 7固件须彻底升级至7.3.4-7013或更高版本。Gen 8固件须全面升级至8.2.3-8015版本。
CISA的处置指令与安全界的警示
BleepingComputer与SecurityWeek等国际网络安全媒体指出了CISA的处置节奏。该漏洞库具有法律强制执行效力。这一处置释放出威胁已处于高度活跃态势的最高级别红色警报。
网络犯罪团伙常将暴露公网的VPN网关作为渗透内网的跳板。专家警示，许多IT团队部署SAML后忽略了后台残留的测试本地账号。这些账号为黑客提供了绕过便利。安全机构敦促企业连夜完成固件升级。安全机构还要求企业排查近期VPN日志中的非SAML连接记录。目的是严防内网潜伏风险。
