SonicWall ha pubblicato il bollettino SNWLID-2026-0014, che corregge sette vulnerabilità nel sistema operativo SonicOS dei firewall di generazione 7 e 8. Una sola è già sfruttata in attacchi reali, ma è quella che conta di più: la CVE-2026-19868 consente di aggirare i controlli SAML, compresa l'autenticazione a più fattori imposta tramite SAML, sul servizio SSL-VPN. La CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate (KEV) e, per le agenzie civili federali statunitensi, la scadenza di messa in sicurezza è il 20 novembre 2026. Il vendor dichiara che non esistono workaround: l'unica mitigazione è l'aggiornamento.

Attenzione a non confondere il caso con le vicende dei dispositivi SMA 1000, già trattate su questo sito: qui si parla dei firewall SonicOS e della loro VPN SSL, un prodotto e una superficie d'attacco diversi, anche se il produttore e il tipo di bersaglio (l'accesso remoto) sono gli stessi.

Cosa è successo

La CVE-2026-19868 è classificata come CWE-308, uso di autenticazione a singolo fattore. Secondo le ricostruzioni di BleepingComputer e SecurityOnline, un attaccante in possesso di credenziali valide per un metodo di accesso alternativo può aggirare i controlli SAML e le regole MFA associate, entrando nella VPN senza superare il secondo fattore. La condizione essenziale è che SAML sia abilitato per i login SSL-VPN: chi non lo usa, in base a quanto dichiarato, non è raggiunto da questa falla.

Le versioni vulnerabili sono SonicOS Gen7 7.3.3-7015 e precedenti, e Gen8 8.2.2-8015 e precedenti. Le correzioni sono la 7.3.4-7013 per Gen7 e la 8.2.3-8015 per Gen8. Il punteggio CVSS riportato dal bollettino citato da BleepingComputer è 7,1; una delle fonti secondarie riporta invece 7,5 in una tabella e 7,1 nel testo, quindi il dato va verificato direttamente sull'advisory del produttore. La scoperta è attribuita a un ricercatore esterno; SonicWall non ha pubblicato dettagli sulle attività di sfruttamento, limitandosi a dire di aver indagato su una segnalazione di possibile exploit.

Lo stesso bollettino risolve altre sei falle, per le quali non risultano sfruttamento né exploit pubblici:

  • due problemi di severità 8,8 nel portale di gestione web (controlli di sessione sugli indirizzi IP e politica cross-domain troppo permissiva), che in condizioni specifiche consentono a un attaccante non autenticato di eseguire operazioni non autorizzate;
  • un buffer overflow pre-autenticazione nella SSL-VPN e due overflow nel client TACACS+, con effetti tipicamente di denial of service;
  • un hashing debole delle password nelle appliance virtuali (severità medio-bassa, richiede accesso locale).

Perché un CVSS "solo" 7,1 non deve ingannare

Un punteggio sotto 8 spinge molti team a collocare la patch nella finestra di manutenzione ordinaria. In questo caso sarebbe un errore di valutazione, e la ragione è un ragionamento sul rischio che il numero non cattura. Il CVSS misura la gravità tecnica in astratto; qui conta il fatto che la falla neutralizza l'unico controllo che molte organizzazioni considerano decisivo sul perimetro, cioè l'MFA sulla VPN. Inoltre l'attaccante parte da credenziali valide, ma le credenziali aziendali sono tra la merce più comune nei mercati criminali: infostealer, riuso delle password, phishing. L'MFA serviva proprio a rendere quelle credenziali insufficienti. Se si aggira, il dato rubato torna a valere come chiave di accesso.

A questo si aggiunge lo stato di sfruttamento confermato e l'assenza di alternative: non potendo ridurre il rischio con una configurazione, ogni giorno di ritardo è un giorno in cui il firewall resta nello stato vulnerabile.

Cosa significa per le aziende italiane

I firewall SonicWall sono molto diffusi nelle PMI, negli studi professionali, nelle strutture sanitarie e negli enti locali italiani, spesso gestiti da un fornitore IT esterno che li configura una volta e li lascia lavorare per anni. Questo è il profilo di rischio tipico: dispositivo esposto su Internet, VPN per smart working e fornitori, SAML collegato a Microsoft Entra ID o ad altri identity provider per "mettere l'MFA" sugli accessi remoti, patch non tracciata da nessuno in modo sistematico.

Tre considerazioni pratiche. Primo, la domanda da porsi non è solo "siamo vulnerabili?", ma "se qualcuno è già entrato, lo sappiamo?": con un bypass dell'MFA l'accesso può comparire nei log come un normale login riuscito. Secondo, per i soggetti NIS2 la gestione delle vulnerabilità e la sicurezza dell'accesso remoto rientrano tra le misure di sicurezza che l'ACN si attende di vedere documentate; una falla in KEV non corretta per settimane è difficile da giustificare in una verifica. Terzo, se l'ingresso nella rete porta a una violazione di dati personali, scatta la valutazione sulla notifica al Garante entro 72 ore ai sensi dell'art. 33 del GDPR; per i soggetti NIS2 si aggiungono le tempistiche verso il CSIRT Italia (preallarme entro 24 ore e notifica entro 72 ore per gli incidenti significativi). La differenza tra scoprire il problema in autonomia e scoprirlo da una richiesta di riscatto è anche una differenza di obblighi.

Un limite onesto del quadro: il produttore non ha detto chi sfrutta la falla né con quali obiettivi, e le fonti consultate non descrivono campagne specifiche contro l'Italia. Non c'è dunque evidenza di un rischio maggiore per le aziende italiane rispetto ad altre; c'è la certezza che il prodotto è molto presente sul nostro territorio e che l'attacco è reale.

Cosa fare subito

  • Identificate i firewall SonicWall Gen7 e Gen8 in uso (sedi, filiali, clienti gestiti) e le versioni installate; l'inventario è il primo passo, spesso il più trascurato.
  • Aggiornate a SonicOS 7.3.4-7013 (Gen7) o 8.2.3-8015 (Gen8), o versioni successive, seguendo il bollettino SNWLID-2026-0014. Pianificate un riavvio e verificate il backup della configurazione.
  • Verificate se SAML è abilitato sulla SSL-VPN. Se lo è, trattate l'urgenza come massima; se non lo è, aggiornate comunque per le altre sei falle.
  • Cercate accessi anomali negli ultimi mesi: login VPN riusciti senza evidenza del secondo fattore nei log dell'identity provider, orari insoliti, indirizzi IP di provenienza non attesi, utenti con più sessioni da paesi diversi.
  • Se trovate indizi di accesso, reimpostate le credenziali degli utenti coinvolti, revocate le sessioni attive e avviate la gestione dell'incidente con valutazione degli obblighi di notifica.
  • Limitate l'esposizione del portale di gestione a indirizzi di amministrazione dedicati: non deve essere raggiungibile da Internet.
  • Riducete il rischio strutturale: per gli accessi privilegiati valutate un secondo livello indipendente dal perimetro (accesso condizionale, segmentazione, monitoraggio dei login VPN).

Le informazioni di questo articolo si basano sulle ricostruzioni dei media specializzati citati e sul bollettino del produttore; prima di intervenire consultate direttamente l'advisory SNWLID-2026-0014 e la voce del catalogo KEV della CISA.