SonicWall VPN zraniteľnosť: reálne obchádzanie MFA a čo s tým

Na SonicWall firewalloch bola odhalená vážna zraniteľnosť v SonicOS, ktorá umožňuje útočníkom oslabiť zabezpečenie SSL‑VPN prihlásenia a obísť SAML overenie vrátane multi-faktorovej autentifikácie (MFA). Zraniteľnosť je podľa zahraničných autorít aktívne zneužívaná a už je zaradená v katalógu „známych zneužívaných zraniteľností“. Pre slovenské firmy, obce, mestá a školy – kde SonicWall patrí medzi bežne používané firewallové riešenia – je to téma, ktorú treba riešiť hneď.

Čo sa deje: SonicWall SonicOS a obchádzanie MFA

Výrobca SonicWall vydal bezpečnostné aktualizácie pre SonicOS, ktoré opravujú viacero zraniteľností. Medzi nimi je aj chyba v oblasti SSL‑VPN prihlásenia, sledujúca sa pod označením CVE-2026-19868, ktorá bola už identifikovaná ako aktívne zneužívaná.

Podľa dostupných správ ide o zraniteľnosť, ktorá:

• postihuje SSL‑VPN funkcionalitu v SonicOS firewalloch,
• umožňuje útočníkovi za určitých okolností obísť SAML overenie,
• tým môže oslabiť alebo obísť aj MFA, ktoré je vynucované cez SAML,
• je podľa bezpečnostných orgánov v zahraničí reálne zneužívaná v útokoch.

Americká CISA (Cybersecurity and Infrastructure Security Agency) pridala túto zraniteľnosť do svojho katalógu známych zneužívaných zraniteľností (KEV). To sa zvyčajne deje iba v prípade, že existujú dôkazy o skutočných útokoch „v teréne“, nie iba teoretických možnostiach.

Inými slovami: nejde o akademický problém. Útočníci aktívne skúšajú (a podľa správ aj úspešne) zneužiť chybu v SonicOS, aby sa dostali cez VPN bránu do vnútornej siete organizácií.

Prečo by to malo zaujímať slovenské firmy, obce a školy

VPN firewall je v praxi často hlavná brána do vnútornej siete z internetu. Ak útočník získa prístup cez SSL‑VPN, veľmi často sa ocitne priamo v internej LAN a má otvorenú cestu k serverom, účtovníctvu, školským IS, mestským agendám či SCADA/OT systémom.

Zraniteľnosť SonicOS je nebezpečná najmä preto, že podkopáva dôveru v MFA a SAML ako hlavné obranné mechanizmy. Mnohé organizácie urobili „domácu úlohu“, zaviedli dvojfaktor na VPN a majú pocit, že sú relatívne v bezpečí. Ak však chybu vo firewalle neopravia, môže útočník v špecifických scenároch MFA obísť a prihlásiť sa bez neho.

Pre subjekty patriace pod zákon o kybernetickej bezpečnosti a smernicu NIS2 je to navyše aj problém z hľadiska povinnosti:

• mať procesy na riadenie zraniteľností,
• udržiavať sieťové prvky a VPN brány aktuálne a podporované,
• reagovať na zverejnené zraniteľnosti „bez zbytočného odkladu“.

Obce, mestá a školy často fungujú v modeli, kde je SonicWall firewall:

• spoločným bodom prístupu pre dodávateľov IT, účtovníkov či správcov agendových systémov,
• zároveň hranicou medzi internetom a internou školskou/úradnou sieťou,
• niekedy aj miestom, kde sa rieši oddelenie úradnej a školskej siete.

Ak je takýto prvok zraniteľný a neopravený, útočník môže často získať prístup do viacerých podsietí naraz a spôsobiť rozsiahly incident (šifrovanie dát, únik osobných údajov, prerušenie prevádzky).

Ako zistiť, či ste ohrození

Prvým krokom je zistiť, či SonicWall vôbec používate a v akej konfigurácii. Odporúčam ísť systematicky:

1. Inventarizujte sieťové hraničné prvky

• Skontrolujte, aké firewally a VPN brány máte nasadené na hranici siete (v centrálnej lokalite, pobočkách, školách, materských školách, zberných dvoroch, športoviskách atď.).
• Ak máte viac prevádzok, spýtajte sa lokálnych adminov alebo dodávateľa, či niekde nebeží ďalší SonicWall (napr. historicky nasadený v menšej budove).
• Nezabudnite na testovacie, záložné či lab prostredia – útočníci ich radi hľadajú, lebo bývajú menej strážené.

2. Overte model a verziu SonicOS

• Prihláste sa do webovej administrácie SonicWall (ak máte prístup) alebo požiadajte svojho dodávateľa o poskytnutie informácie.
• V rozhraní nájdete presný model firewallu a verziu SonicOS.
• Porovnajte ju s informáciami od výrobcu – či pre danú verziu už existuje bezpečnostná aktualizácia opravujúca CVE-2026-19868.

3. Zmapujte, ako používate SSL‑VPN a SAML/MFA

• Zistite, či na firewalle beží SSL‑VPN prístup z internetu.
• Overte, či je prihlásenie k VPN viazané na SAML a MFA (napr. integrácia s Microsoft 365, iným IdP, OTP aplikáciou a pod.).
• Spíšte si zoznam všetkých používateľov a skupín, ktoré majú povolený vzdialený prístup (interní zamestnanci, externí dodávatelia, správcovia aplikačných systémov).

Ak kombinujete SonicWall SSL‑VPN so SAML/MFA, patríte medzi tie inštalácie, ktoré presne táto zraniteľnosť zaujíma najviac.

Okamžité kroky: čo urobiť technicky

Nižšie je odporúčané minimum krokov, ktoré by mal admin alebo dodávateľ IT vykonať. Aj malé organizácie ich vedia prejsť v rozumnom čase.

1. Aktualizujte SonicOS na opravenú verziu

• Prihláste sa do portálu výrobcu a overte, ktoré verzie SonicOS obsahujú opravu CVE-2026-19868.
• Naplánujte riadny upgrade: záloha konfigurácie, termín s minimálnym dopadom na prevádzku, test po aktualizácii.
• PATCH aplikujte na všetky dotknuté zariadenia – aj pobočky, školy či menšie lokality.

Ak aktualizáciu neviete spraviť sami, tlačte na svojho dodávateľa, aby ju vykonal čo najskôr a písomne vám potvrdil, ktoré zariadenia sú už opravené.

2. Skontrolujte konfiguráciu SAML/MFA na VPN

• Po aktualizácii overte, že sa všetky VPN účty skutočne prihlasujú cez MFA.
• Vyskúšajte prihlásenie s testovacím účtom a sledujte, či je MFA naozaj vyžadované a neprichádza k „skratkám“.
• Ak nájdete účty alebo skupiny, kde MFA neplatí (napr. starý lokálny účet pre „núdzový prístup“), zrušte ich alebo im MFA zapnite.

3. Obmedzte prístupy na nevyhnutné minimum

• Prejdite zoznam VPN používateľov a skupín a zrušte všetky neaktívne alebo zbytočné účty (bývalí zamestnanci, dodávatelia po skončení projektu a pod.).
• Ak je to možné, obmedzte VPN prístup len na tie podsiete, ktoré používateľ skutočne potrebuje (napr. administrátor IS len na aplikačný server, nie na celú LAN).
• Zvážte geografické či IP obmedzenia – ak všetci používate VPN zo Slovenska, nie je dôvod povoľovať prihlásenia z celého sveta.

4. Skontrolujte logy a nezvyčajné prihlásenia

• Prejdite logy SonicWall VPN za posledné týždne – hľadajte nezvyčajné vzory:
• • prihlásenia v netypických časoch,
  • prihlásenia z cudzích krajín alebo IP rozsahov, ktoré viete, že vaši ľudia nepoužívajú,
  • opakované neúspešné pokusy na rôzne účty.
• Ak niečo podozrivé nájdete, riešte to ako bezpečnostný incident – zmeňte heslá, odpojte podozrivé účty, overte integritu systémov, prípadne prizvite odbornú pomoc.

5. Dočasné mitigácie, ak nemôžete hneď patchovať

Ak z nejakého dôvodu okamžite neviete nasadiť aktualizáciu (napr. komplikovaný schvaľovací proces, špecifické integrácie), zvážte dočasné opatrenia:

• Obmedziť alebo vypnúť SSL‑VPN prístup z internetu na najkritickejších lokalitách, kde ide o citlivé systémy.
• Presmerovať vzdialený prístup cez alternatívny, bezpečnejší kanál (napr. existujúci centralizovaný VPN systém, ktorý nie je zraniteľný daným problémom).
• Ešte výraznejšie sprísniť IP/geo obmedzenia na VPN.

Ide naozaj len o dočasné riešenia. Cieľom musí zostať riadna aktualizácia SonicOS.

Čo si z toho zobrať dlhodobo (aj kvôli NIS2)

Každá takáto zraniteľnosť nám pripomína, že firewall alebo VPN krabica nie je „raz nastav a zabudni“, ale kritický systém, ktorý potrebuje priebežnú starostlivosť.

Odporúčam zapracovať tieto body do internej bezpečnostnej praxe:

• Riadenie zraniteľností – mať nastavený proces, kto sleduje bezpečnostné správy od výrobcov (SonicWall, QNAP, Microsoft, atď.) a ako sa rozhoduje o nasadení záplat.
• Pravidelné bezpečnostné revízie VPN – aspoň raz ročne (pri väčších organizáciách častejšie) prejsť:
• • zoznam VPN používateľov a skupín,
  • nastavenie MFA a politiky hesiel,
  • logy prihlásení a pokusov,
  • verziu firmware a dostupné bezpečnostné aktualizácie.
• Segmentácia siete – nepredpokladať, že ak sa niekto dostane cez VPN, je „dôveryhodný“. Dôležité systémy (účtovníctvo, personálna agenda, IS obce, školské systémy) by mali byť aspoň čiastočne oddelené a chránené ďalšími prvkami.
• Penetračné testy a audity – dať si VPN a hraničné prvky pravidelne otestovať nezávislou stranou, ktorá vie skontrolovať aj chybné konfigurácie a slabé heslá.
• Školenie adminov a vedenia – aby aj zodpovední manažéri rozumeli, že „firewall s VPN“ nie je jednorazová investícia, ale živý systém s pravidelnými nákladmi na údržbu, inak riskujú incident s násobne vyššími škodami.

Pre subjekty spadajúce pod NIS2 je navyše potrebné mať tieto procesy zdokumentované, aby ste vedeli pri kontrole preukázať, že zraniteľnosti aktívne riešite a nezostávate pri „najnižšom možnom štandarde“.

Krátke zhrnutie

• V SonicWall SonicOS bola odhalená a aktívne zneužívaná zraniteľnosť CVE-2026-19868, ktorá umožňuje obísť SAML kontrolu a tým oslabiť alebo obísť MFA na SSL‑VPN prihlásení.
• Zraniteľnosť už evidujú zahraničné autority v katalógu známych zneužívaných zraniteľností, čo znamená, že nejde len o teóriu.
• Firmy, obce, mestá a školy na Slovensku, ktoré používajú SonicWall firewall ako VPN bránu, by mali okamžite skontrolovať verziu SonicOS a nasadiť bezpečnostné aktualizácie.
• Popri patchovaní je dôležité preveriť nastavenie MFA, obmedziť VPN prístupy na nevyhnutné minimum a skontrolovať logy prihlásení.
• Dlhodobo je nevyhnutné mať proces riadenia zraniteľností, pravidelné revízie VPN, segmentáciu siete a adekvátne školenie technického aj manažérskeho personálu – aj v kontexte požiadaviek NIS2.