全球知名網絡安全與防火牆設備提供商SonicWall公司於2026年11月6日至7日向全球企業客戶發佈安全威脅公告。通報確認，旗下SonicOS操作系統中存在一個高危身份驗證規避零日漏洞。該漏洞已被黑客組織在野外實際利用。通用漏洞披露編號爲CVE-2026-19868。
官方技術說明確認，漏洞存在於SonicOS防火牆的SSL-VPN遠程接入服務模塊中。當設備啟用安全斷言標記語言（SAML）單點登錄鑑權時，持有任意本地降級有效憑證的惡意攻擊者可繞過SAML安全認證控制鏈。企業強制部署的多因素身份驗證（MFA）會完全失效。
美國網絡安全和基礎設施安全局（CISA）已將漏洞列入「已知被利用漏洞目錄」（KEV）。CISA向所有聯邦行政機構下達了限期修補指令。全球廣泛部署的Gen 7與Gen 8全系物理及虛擬防火牆均受波及。官方未提供任何臨時規避方案。
漏洞評分與受影響組件
CVE-2026-19868的官方CVSS評分爲7.1，屬高危等級。評分信息來自美國國家標準技術研究所（NIST NVD）。漏洞發生在SonicOS的SSL-VPN模塊。該模塊啟用SAML單點登錄時觸發漏洞。上述信息由知名黑客與安全媒體BleepingComputer報道。
攻擊者僅需備用認證憑證即可繞過SAML。MFA強制鑑權隨之失效。國際權威安全週刊SecurityWeek記錄了該攻擊條件與後果。受影響設備按代際劃分修復版本。Gen7需升至7.3.4-7013。Gen8需升至8.2.3-8015。加拿大網絡安全中心通告（Cyber Centre）列出了上述固件版本。
CISA將漏洞列入KEV必修清單。聯邦機構須在11月20日前完成修補。該指令來自美國CISA官方安全預警（CISA KEV）。
漏洞使MFA失效的技術路徑
在現代企業遠程辦公與混合工作架構中，SSL-VPN是員工從外網訪問內網服務器的邊界入口。多數企業強制啟用基於SAML協議的聯合單點登錄。企業同時綁定動態驗證碼等多因素身份認證（MFA）。目的是防止弱口令泄露引發撞庫風險。
SonicWall產品安全應急響應團隊（PSIRT）調查客戶現場安全事件時發現了問題。SonicOS系統的身份驗證流轉引擎存在邏輯判斷漏洞。當SSL-VPN服務配置爲使用SAML進行主認證時，系統可能同時保留本地用戶數據庫、LDAP目錄服務或RADIUS等傳統備用鑑權方式。系統內部代碼未對鑑權會話狀態實施嚴格的原子性閉環校驗。
攻擊者掌握某個低權限內部人員的本地靜態賬號密碼即可發起攻擊。攻擊者在SSL-VPN握手時構造惡意的畸形認證請求包。防火牆底層服務會將該連接直接標記爲「認證已完成」。整個過程不觸發SAML跳轉。MFA動態手機驗證碼也不會彈出。攻擊者由此直接獲取通往企業內網的完整網絡隧道權限。
受波及的設備型號與修復版本
SonicWall官方安全通報詳列了硬件受影響清單。本次漏洞波及面極其寬泛。受影響設備涵蓋企業級邊界網絡的主流主力設備。
第七代（Gen 7）受影響設備包括TZ系列桌面級防火牆、NSa系列中高端園區防火牆以及NSsp大型數據中心級旗艦防火牆。這些設備運行SonicOS 7.3.3-7015及更早版本。第八代（Gen 8）全系新型號同樣受影響。這些設備運行SonicOS 8.2.2-8015及更早版本。在VMware ESXi、KVM、AWS與微軟Azure雲平臺上部署的NSv虛擬化防火牆也無一倖免。
SonicWall在公告的緩解方案一欄標註爲「無臨時變通方案」（Workaround: None）。企業安全運維團隊無法通過關閉某個子端口或調整訪問控制列表（ACL）抵禦攻擊。唯一的根除途徑是升級固件。Gen 7固件須徹底升級至7.3.4-7013或更高版本。Gen 8固件須全面升級至8.2.3-8015版本。
CISA的處置指令與安全界的警示
BleepingComputer與SecurityWeek等國際網絡安全媒體指出了CISA的處置節奏。該漏洞庫具有法律強制執行效力。這一處置釋放出威脅已處於高度活躍態勢的最高級別紅色警報。
網絡犯罪團伙常將暴露公網的VPN網關作爲滲透內網的跳板。專家警示，許多IT團隊部署SAML後忽略了後臺殘留的測試本地賬號。這些賬號爲黑客提供了繞過便利。安全機構敦促企業連夜完成固件升級。安全機構還要求企業排查近期VPN日誌中的非SAML連接記錄。目的是嚴防內網潛伏風險。
