CVE-2026-19868

🛡️️We added SonicWall SonicOS SSL VPN use of single-factor authentication vulnerability CVE-2026-19868 to our KEV Catalog. Visit https://go.dhs.gov/Z3Q & apply mitigations to protect your org. #Cybersecurity #InfoSec https://t.co/WtmgaS9tLO

【SonicWall SSL-VPN脆弱性（CVE-2026-19868）】 SAML認証で強制したMFAが別の認証経路で迂回される。CISAが悪用を確認しKEVに追加 https://joho-todai.com/sonicwall-ssl-vpn-saml-mfa-bypass-vulnerability/ ■影響 Gen7：SonicOS 7.3.3-7015以前 Gen8：SonicOS 8.2.2-8015以前 SAMLを有効にしたSSL-VPN構成のみ ■修正版 Gen7：7.3.4-7013以降（10月20日〜提供中） Gen8：8.2.3-8015以降（11月6日予定） 回避策なし。修正版への更新が唯一の対処 ■確認すべき5項目 ・機器の世代（Gen7 / Gen8） ・SonicOSのビルド番号 ・SSL-VPNが有効か ・SAML認証を使っているか ・別の認証方式が併存しているか ※公表日と修正版の提供開始日が一致していないため更新日ではなくビルド番号で照合を

📌CISA: Οι ευπάθειες CVE-2024-27834 της Apple και CVE-2026-19868 του SonicWall SonicOS SSLVPN μπαίνουν στον κατάλογο KEV λόγω ενεργής εκμετάλλευσης - ➡️Διαβάστε εδώ: https://ift.tt/t8xOZuy

VPN 开了多重验证，也要看登录路径有没有绕过去。 据 SonicWall 的安全公告，SonicOS 的漏洞 CVE-2026-19868 涉及配置了 SAML 身份验证的 SSL-VPN。替代身份验证凭据可能绕过 SAML 及其多重验证。这并不意味着所有 SonicWall 用户都受影响。 CISA 已于 11 月 6 日将该漏洞加入已知遭利用漏洞目录。SonicWall 表示，正在调查一份有关漏洞被利用的报告。 据 SonicWall 公告，Gen7 的 7.3.4-7013 及更新版本、Gen8 的 8.2.3-8015 及更新版本已修复该问题，且没有临时缓解方案。 加密隧道保护的是传输，身份验证决定的是谁能进入。某一条路径上的多重验证，不能代表其他登录路径也经过了同样的检查。

米国サイバーセキュリティ・社会基盤安全保障庁(CISA)が既知の悪用された脆弱性カタログにSonicWall SonicOS SSLVPNにおける一要素認証（多要素認証回避）の脆弱性CVE-2026-19868を追加。対処期限は14日後の11/20。ランサムウェアによる悪用は不知。 https://www.cisa.gov/news-events/alerts/2026/11/06/cisa-adds-one-known-exploited-vulnerability-catalog 差分：https://kev.kokumoto.com/#/cveId:CVE-2026-19868

⚡ Exploited the same day it was disclosed SonicWall SonicOS: authentication bypass in SSLVPN service (CVE-2026-19868) Published Friday. Added to CISA's exploited list Friday. No patch listed yet https://cve.now/CVE-2026-19868?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

MFA bypass on a firewall. SonicWall SonicOS SSLVPN (CVE-2026-19868): valid credentials for an alternate auth method skip SAML and its MFA. Actively exploited — added to CISA KEV today. Affects 7.3.3-7015 & older, 8.2.2-8015 & older. Patch by Nov 20. https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014

SonicWall SSL-VPN -> SAML and MFA Authentication Bypass Attack Path -> 1. Identify SonicWall SonicOS SSL-VPN deployments using SAML authentication. 2. Check whether the deployment is affected by CVE-2026-19868.

Attackers exploit the SonicWall SonicOS SSLVPN flaw CVE-2026-19868 in the wild. Update Gen7 and Gen8 firewalls now to patch CVE-2026-107155 and 6 bugs. #SonicWall #SonicOS #SSLVPN #Cybersecurity #InfoSec https://securityonline.info/sonicwall-sonicos-sslvpn-cve-2026-19868-exploited/

CISA KEV: CVE-2026-19868 - SonicWall SSLVPN can skip SAML MFA when SAML is on. Needs valid alternate-auth creds. SonicWall investigated potential exploitation. No workaround. Gen7 7.3.4-7013+, Gen8 8.2.3-8015+. NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-19868 SonicWall: https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 https://t.co/HL3SONxZ77

SonicWall CVE-2026-19868 (advisory SNWLID-2026-0014) lets a user holding valid credentials for an alternate authentication method bypass SAML controls on the SSL-VPN service, including SAML-enforced MFA. It only applies when SAML is enabled for SSL-VPN logins. Affected: Gen7 SonicOS 7.3.3-7015 and older; Gen8 8.2.2-8015 and older. Fixed in 7.3.4-7013 and higher (Gen7) and 8.2.3-8015 and higher (Gen8). SonicWall lists no workaround. CISA added it to the Known Exploited Vulnerabilities catalog on 6 November with a federal due date of 20 November. SonicWall PSIRT investigated a report indicating potential exploitation. If you run SonicWall firewalls with SAML SSL-VPN, check firmware versions and upgrade. Review recent VPN sessions for unexpected logins on alternate methods.

🚨 Critical Threat Intelligence: SonicWall SonicOS SSLVPN MFA Bypass #CVE-2026-19868 Actively Exploited in the Wild + Video -Prediction: 📈 0 Positive | 📉 1 Negative https://undercodetesting.com/critical-threat-intelligence-sonicwall-sonicos-sslvpn-mfa-bypass-cve-2026-19868-actively-exploited-in-the-wild-video/ Educational Purposes!

【11/7 朝】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① SonicWall「SonicOS」：SSLVPNのSAML・多要素認証のすり抜け、米CISAがKEVへ追加し悪用を確認（CVE-2026-19868ほか、CVSS v3.1 7.5） 11月6日にSonicWallが7件の脆弱性をまとめたアドバイザリSNWLID-2026-0014を公表し、うちSSLVPNのCVE-2026-19868は同日に米CISAが悪用確認済みとしてKEVへ追加しました。SAMLを有効にしたSSLVPNで、別の認証方法の正規の認証情報を持つ利用者がSAMLの認証をすり抜け、SAMLで強制している多要素認証も回避されてしまうおそれがあります。SonicWallは悪用の可能性を示す報告があるとして、速やかな更新を強く求めています。同じアドバイザリには、管理画面のセッション検証の不備（CVE-2026-107154、CVSS v3.1 8.8）やクロスドメインポリシーの不備（CVE-2026-107155、CVSS v3.1 8.8）、SSLVPNの認証前ヒープバッファオーバーフロー（CVE-2026-82308、CVSS v3.1 7.5）も含まれます。対象はSonicOS 7.3.3-7015以前と8.2.2-8015以前で、KEVの対応期限は11月20日です。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19868 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 出典：CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog ② Craft CMS「Craft CMS」：ログインなしで管理者を奪われうるSQLインジェクション、4.18.9と5.11.2で修正（CVE-2026-123488、CVSS v3.1 9.8） 11月6日に公表された、ログインなしで狙えるSQLインジェクションの脆弱性です。要素の検索機能で、属性の指定値を検証せずにSQLへ組み込んでしまうため、ログインしていない攻撃者がデータベースを読み書きでき、管理者フラグの設定やパスワードハッシュの書き換えで管理者権限を奪われるおそれがあります。同じ版にはGraphQLのeager-loading経由のSQLインジェクション（CVE-2026-123491、CVSS v4.0 8.8）もあり、パスワードハッシュやセッショントークンを読み取られるおそれがあります。対象はCraft CMS 4.0.0から4.18.9未満と5.0.0から5.11.2未満で、修正版は4.18.9と5.11.2です。現時点で実際の悪用の報告は確認できていませんが、公開しているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123488 出典：Craft CMS https://github.com/craftcms/cms/security/advisories/GHSA-qcvp-ggx3-97r6 ③ AWS「Babelfish for PostgreSQL」：TDS処理のヒープバッファオーバーフローでOSコマンドを実行されうる脆弱性、4.10・5.6・6.1で修正（CVE-2026-119923、CVSS v3.1 9.8） TDSの事前ログイン処理のヒープバッファオーバーフローで、細工したパケットをTDSポートへ送ることで、遠隔の攻撃者にデータベースプロセスの権限でOSコマンドを実行されるおそれがあります。対象はBabelfish for PostgreSQL拡張の1.0〜1.5、2.1〜2.15、3.1〜3.12、4.0〜4.8、5.1〜5.4と、Babelfishを使うAmazon Aurora PostgreSQLです。修正版はBabelfish拡張の4.10、5.6、6.1以降で、Aurora側も各系列の修正版へ更新する必要があります。同じTDS処理には、認証済みの利用者が隣接するメモリを読み取れる範囲外読み取り（CVE-2026-119924、CVSS v3.1 8.1）もあり、あわせて修正されています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119923 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-166-aws/ ④ AWS「Trusted Remote Execution」：サンプルのSSMドキュメントでroot権限のコマンド実行、作成済みドキュメントの削除が必要（CVE-2026-122193、CVSS v3.1 9.9） サンプルとして提供されたSSMドキュメントの作成スクリプトにOSコマンドインジェクションがあり、Rex-ROまたはRex-RWのSSMドキュメントを呼び出せる認証済みの利用者が、管理対象インスタンス上でroot権限で任意のコマンドを実行できてしまうおそれがあります。Cedarによるポリシーの強制もすり抜けてしまいます。対象は2026年7月28日より前にこのサンプルスクリプトで作られたRex-RO・Rex-RWのSSMドキュメントで、修正版の提供ではなく、作成済みのドキュメントの削除が求められています。各アカウントとリージョンで、サンプルから作ったドキュメントが残っていないかを確認してください。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-122193 出典：AWS https://aws.amazon.com/security/security-bulletins/2026-173-aws/ ⑤ JetBrains「CLion」：セーフモードをすり抜けてコードを実行されうる脆弱性、2026.2と2026.1.4で修正（CVE-2026-123831／CVE-2026-123832、CVSS v3.1 9.6） セーフモードでもコードが実行されてしまう脆弱性が2件公表されました。Mesonプロジェクトの設定（CVE-2026-123831）とJSONコンパイルデータベース（CVE-2026-123832）の処理で、信頼できないプロジェクトを開いた利用者にコードを実行されてしまうおそれがあります。攻撃には利用者が細工したプロジェクトを開く操作が必要ですが、セーフモードは本来こうした実行を抑えるための機能のため、影響は大きくなっています。対象はCLion 2026.2未満で、修正版は2026.2と2026.1.4です。現時点で攻撃コードの公開や実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123831 出典：JetBrains https://www.jetbrains.com/privacy-security/issues-fixed/ ⑥ JupyterLab「JupyterLab Desktop」：細工したURLやノートブックのリンクでコードを実行されうる脆弱性、4.6.2-1で修正（CVE-2026-102530／CVE-2026-86044、CVSS v3.1 9.6） リモートサーバーへの接続画面でURLを安全に処理していないため、細工したURLを送信させられた利用者の画面でスクリプトが実行され、特権のあるプロセス間通信を悪用して利用者の権限で任意のコードを実行されてしまうおそれがあります。もう1件は、信頼できないノートブック内の細工したリンクをクリックすると、Jupyterサーバーのトークンが漏れてコードを実行される問題です（CVE-2026-86044、CVSS v3.1 9.6）。対象はJupyterLab Desktop 4.6.2-1未満で、修正版は4.6.2-1です。現時点で実際の悪用の報告は確認できていませんが、デスクトップアプリを使っている場合は更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-102530 出典：JupyterLab https://github.com/jupyterlab/jupyterlab-desktop/security/advisories/GHSA-vrj4-r4fw-9rfh ⑦ Chartbrew「Chartbrew」：認証なしのSQLインジェクションやアカウント乗っ取りなど重大な脆弱性が複数、5.2.3で修正（CVE-2026-54349ほか、CVSS v3.1 9.8） 公開ダッシュボードのSQLインジェクション（CVE-2026-54349、CVSS v3.1 9.8）をはじめ、複数の重大な脆弱性がまとめて公表されました。認証なしでセッショントークンを偽造してアカウントを乗っ取られる問題（CVE-2026-85295、CVSS v3.1 9.8）や、管理用のキュー画面が認証なしで開けてしまう問題（CVE-2026-86005、CVSS v4.0 9.3）、API接続の設定から内部ネットワークへ到達されるSSRF（CVE-2026-68935、CVSS v3.1 9.1）も含まれます。対象はChartbrew 5.2.3未満で、修正版は5.2.1と5.2.3です。現時点で実際の悪用の報告は確認できていませんが、インターネットに公開している環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-54349 出典：Chartbrew https://github.com/chartbrew/chartbrew/security/advisories/GHSA-qvv4-r3q6-8797 出典：Chartbrew https://github.com/chartbrew/chartbrew/releases/tag/v5.2.3 ⑧ Symfony「Symfony」：YAMLパーサーの処理時間の問題でサービス拒否を起こされうる脆弱性、各系列の修正版で対応（CVE-2026-123792、CVSS v4.0 8.7） YAMLのパーサーに処理時間の問題があり、小さな細工したYAML文書を処理させるだけでPHPプロセスを数秒から数分占有され、サービス拒否を引き起こされるおそれがあります。ログインなしで狙える問題で、YAMLを外部から受け取る処理がある環境で影響します。対象はSymfony 5.4.56未満、6.4.50未満、7.4.23未満、8.1.11未満で、修正版は各系列の5.4.56、6.4.50、7.4.23、8.1.11です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123792 出典：Symfony https://github.com/symfony/symfony/security/advisories/GHSA-hwfg-qwvh-2wfx ■注意点 ・SonicWall SonicOS（CVE-2026-19868）は米CISAがKEVへ追加し、悪用が確認されています。SSLVPNでSAMLを使っている環境は、対応期限の11月20日を待たずに更新してください。 ・Craft CMS（CVE-2026-123488）とChartbrew（CVE-2026-54349ほか）は、ログインなしで管理者権限やデータベースを奪われうる重大な問題です。公開している環境は修正版への更新を急いでください。 ・AWSのBabelfishとTrusted Remote Executionは、AWSのセキュリティ情報で修正方法を確認してください。REXは更新ではなく作成済みドキュメントの削除が必要です。 #脆弱性 #CVE #サイバーセキュリティ

SonicWall SSLVPN: exploited, and SAML MFA does not stop it CISA added CVE-2026-19868 to the KEV catalog today; federal remediation is due 2026-11-20. Ransomware use is listed as unknown. Anyone holding valid credentials for an alternate authentication method can skip SAML enforcement on the SSLVPN, and the SAML-enforced MFA with it. CVSS 3.1 7.5 from the CNA. NVD lists no primary metric and still reads Undergoing Analysis, so the vector is the vendor and CISA text, not a v4 score. Sharpest edge: MFA on the edge gateway is what most teams count as their control, and here the single-factor path walks past it. https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014 #CyberSecurity #InfoSec #ThreatIntel #SonicWall #VPN #NetworkSecurity #MFA #KEV #CISA #PerimeterSecurity

🇺🇸 CISA added SonicWall SonicOS SSLVPN auth bypass CVE-2026-19868 to KEV as exploited. Affects Gen7 7.3.3-7015 and older and Gen8 8.2.2-8015 and older. Patch per SonicWall advisory SNWLID-2026-0014 before the Nov 20 deadline and review SSLVPN login methods. Source: CISA https://t.co/0Zzio21M5T

NewNormal Security turns CVEs since the previous batch into new detections, every day. 𝗗𝗮𝗶𝗹𝘆 𝗖𝗩𝗘 𝗥𝗲𝗽𝗼𝗿𝘁 — 7 Nov 2026 𝗔𝗱𝗱𝗲𝗱 to NewScan 𝘁𝗼𝗱𝗮𝘆: 🚨 SAML and MFA bypass on an SSL VPN — a credential for another sign-in method skips SAML and its MFA; identified appliances are flagged against the advisory (SonicWall SonicOS CVE-2026-19868) 🖥️ Exposed job-queue dashboard (Bull Board) — anyone can read job payloads and retry, promote or delete jobs with no login (Chartbrew CVE-2026-86005) Test your stack with NewScan — free, self-hosted: https://newnormalsecurity.com/newscan?utm_source=x&utm_medium=social&utm_campaign=daily-cve #infosec #AppSec #SAML #CSO #REDTEAM

Your VPN can require SAML MFA and still accept a login that **skips it**. SecurityWeek reports that CVE-2026-19868 can let someone with valid credentials for a different login method get past SonicOS SSL VPN’s SAML checks, including SAML-enforced MFA. SonicWall has issued a patch. Requiring SAML does not protect a VPN login if another enabled method can sidestep its checks. Open your SonicOS SSL VPN authentication settings and check whether SAML and another login method are both enabled. Then check SonicWall’s advisory for the patched build.

SonicWall CVE-2026-19868 (advisory SNWLID-2026-0014) lets a user holding valid credentials for an alternate authentication method bypass SAML controls on the SSL-VPN service, including SAML-enforced MFA. It only applies when SAML is enabled for SSL-VPN logins. Affected: Gen7 SonicOS 7.3.3-7015 and older; Gen8 8.2.2-8015 and older. Fixed in 7.3.4-7013 and higher (Gen7) and 8.2.3-8015 and higher (Gen8). SonicWall lists no workaround. CISA added it to the Known Exploited Vulnerabilities catalog on 6 November with a federal due date of 20 November. SonicWall PSIRT investigated a report indicating potential exploitation. If you run SonicWall firewalls with SAML SSL-VPN, check firmware versions and upgrade. Review recent VPN sessions for unexpected logins on alternate methods.

🚨 A SonicWall SSL-VPN flaw lets attackers skip SAML and MFA entirely, and SonicWall's PSIRT reports suspected exploitation in the wild. 📌 What happened: CVE-2026-19868 is an authentication bypass in the SSL-VPN authentication enforcement module. A crafted request gets a login accepted without the SAML flow or a second-factor check. 🔑 Key facts: ▪️ CVSS v3.1 7.5 (High), CWE-287 ▪️ Remote, network-based attack vector ▪️ Attacker walks away with a valid VPN session token ▪️ Patch pending; no IoCs disclosed yet ⚠️ Why it matters: Bypassing SAML and MFA removes the identity controls guarding remote access, opening a path to lateral movement, data theft and ransomware. 🛡️ Do this now: 1⃣ Deploy the CVE-2026-19868 patch as soon as it is released 2⃣ Alert on VPN logins with no matching MFA record 3⃣ Segment VPN session traffic to limit lateral movement 4⃣ Inventory SSL-VPN instances and verify firmware 🔗 Full analysis: https://badgersignal.com/articles/sonicwall-sslvpn-authentication-bypass-cve202619868-critical-remote-access-risk 📊 Infographic attached for the breakdown at a glance. 💬 Can your SIEM flag a VPN login that succeeded without an MFA event today? #CyberSecurity #ThreatIntelligence #InfoSec #BadgerSignal #SonicWall #VPNSecurity #MFA

CISA added SonicWall SonicOS SSL-VPN CVE-2026-19868 to KEV: with SAML enabled, a user holding valid credentials for an alternate login method can bypass SAML controls, including SAML MFA. VulnTracker recommends upgrading now: Gen 7 to 7.3.4-7013 or later, Gen 8 to 8.2.3-8015 or later. No workaround listed. Details: http://vulntracker.io/cves/CVE-2026-19868 #SonicWall #CISAKEV #VulnTracker