Die Lücke ist mit einem CVSS-Wert von 7.1 bewertet und betrifft ausschließlich SonicOS-SSL-VPN-Dienste, die für SAML-Authentifizierung konfiguriert sind. In einem am Freitag veröffentlichten Sicherheitshinweis erklärte SonicWall, das hauseigene PSIRT habe einen Hinweis auf eine mögliche Ausnutzung der Schwachstelle untersucht; Kundinnen und Kunden würden „dringend aufgefordert, so bald wie möglich auf die neueste Version zu aktualisieren, um die damit verbundenen Risiken zu mindern". Entdeckt und gemeldet wurde die Schwachstelle von Ryan Harris von The Electronic Office.

Details zu den gemeldeten Angriffen nannte SonicWall nicht. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-19868 jedoch in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und damit die Ausnutzung in freier Wildbahn bestätigt. US-Bundesbehörden der zivilen Exekutive müssen betroffene Systeme bis zum 20. November 2026 absichern.

Der Sicherheitshinweis behebt sechs weitere Schwachstellen in SonicOS:

  • zwei Fehler in der Management-Oberfläche mit Schweregrad 8.8, über die nicht authentifizierte Angreifer unter bestimmten Bedingungen unbefugte Operationen ausführen können
  • Pufferüberläufe vor der Authentifizierung im SSL-VPN- und im TACACS+-Dienst, die zu Denial-of-Service führen können
  • eine schwache Passwort-Hashing-Implementierung, die virtuelle Appliances betrifft

Betroffen sind SonicOS Gen7 in Version 7.3.3-7015 und älter sowie Gen8 in Version 8.2.2-8015 und älter. Behoben sind die Probleme in den Versionen 7.3.4-7013 und 8.2.3-8015; Umgehungslösungen gibt es nach Angaben des Herstellers nicht.

Die Warnung folgt auf eine Reihe von Angriffen auf SonicWalls SMA1000-Appliances für sicheren Fernzugriff. Im Oktober beobachteten Sicherheitsforscher Ausnutzungsversuche gegen CVE-2026-102255, eine Schwachstelle mit maximalem Schweregrad, die nicht authentifizierten Angreifern Zugriff auf interne Funktionen und unbefugte Operationen ermöglichen kann. Zuvor hatten Angreifer im September zwei SMA1000-Zero-Days verkettet, um Code aus der Ferne auszuführen; im Juli wurden zwei weitere Zero-Days ausgenutzt, um Schadsoftware auf verwundbaren Appliances abzulegen.