CISA, SonicWall SonicOS MFA Bypass Güvenlik Açığını KEV Kataloğuna Ekledi

CISA, SonicWall SonicOS MFA Bypass Güvenlik Açığını KEV Kataloğuna Ekledi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), SonicWall SonicOS’u etkileyen yüksek önem dereceli bir güvenlik açığını, gerçek dünya saldırılarında istismar edilmiş olabileceğine dair raporların ardından Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dahil etti.

CVE-2026-19868 (CVSS puanı: 7.1 / 7.5) olarak takip edilen bu güvenlik açığı, alternatif kimlik doğrulama yöntemleri aracılığıyla kimlik doğrulama güçlendirme zafiyeti olarak tanımlanıyor.

SonicWall, 6 Kasım 2026 tarihli bir danışma belgesinde, “SonicOS SSL-VPN hizmetindeki bir kimlik doğrulama güçlendirme zafiyeti, alternatif bir kimlik doğrulama yöntemine sahip geçerli kimlik bilgilerine sahip bir kullanıcının SAML kimlik doğrulama kontrollerini atlamasına olanak tanıyabilir. Başarılı bir istismar, SAML tarafından uygulanan çok faktörlü kimlik doğrulamayı (MFA) da atlayabilir” açıklamasını yaptı.

Şirket ayrıca, “bu güvenlik açığının potansiyel istismarına işaret eden bir raporu araştırdığını” kabul ederek, müşterilerini mümkün olan en kısa sürede en son sürüme güncellemeleri konusunda uyardı. SonicWall, saldırının niteliği veya arkasındaki kişiler hakkında ek ayrıntı vermedi.

Diğer Yüksek Önemli Güvenlik Açıkları

SonicWall tarafından yamalanan diğer yüksek önem dereceli güvenlik açıkları şunlardır:

• CVE-2026-107155 (CVSS puanı: 8.8) – SonicOS yönetim arayüzündeki izin verilen bir çapraz alan politikası güvenlik açığı, belirli koşullar altında uzaktan kimliği doğrulanmamış bir saldırganın yetkisiz işlemler gerçekleştirmesine potansiyel olarak olanak tanıyabilir.
• CVE-2026-107154 (CVSS puanı: 8.8) – SonicOS yönetim arayüzündeki bir oturum doğrulama güvenlik açığı, belirli koşullar altında uzaktan kimliği doğrulanmamış bir saldırganın yetkisiz işlemler gerçekleştirmesine potansiyel olarak olanak tanıyabilir.
• CVE-2026-82308 (CVSS puanı: 7.5) – SonicOS SSL-VPN hizmetindeki ön kimlik doğrulama yığın tabanlı arabellek taşması güvenlik açığı, uzaktan kimliği doğrulanmamış bir saldırganın uygulama düzeyinde hizmet reddine neden olmasına potansiyel olarak olanak tanıyabilir.

Federal Sivil Yürütme Organı (FCEB) kurumlarının, ağlarını tehditlere karşı güvence altına almak için yamaları 20 Kasım 2026 tarihine kadar uygulamaları tavsiye edilmektedir.

Bu gelişme, SonicWall’ın kullanım ömrü sona ermiş Global Yönetim Sistemi (GMS) sistemlerini etkileyen iki yamalanmamış güvenlik açığını (CVE-2026-109593 ve CVE-2026-109594) detaylandırmasından ve müşterilerini Ağ Güvenlik Yöneticisi’ne (NSM) yükseltmeye çağırmasından günler sonra geldi.