MFA aan op je SonicWall-VPN? Niet als een tweede pad openstaat

CVE-2026-19868 in de SonicWall SSL-VPN laat SAML-afgedwongen MFA omzeilen via een alternatieve loginmethode. CISA zette het op de KEV-lijst. Patch nu.

Je MFA-dashboard staat op 100 procent. Elke medewerker krijgt een pushmelding of een code. De VPN loopt via SAML, de moderne manier om inloggen bij een clouddienst te laten afdwingen. Op papier zit de deur op slot. Maar wat als je SonicWall-firewall nog een tweede inlogmethode openhoudt? Dan kan iemand met een oud lokaal wachtwoord die MFA gewoon links laten liggen.

Dat is precies wat CVE-2026-19868 doet. SonicWall patchte het lek op 6 november. Dezelfde dag zette CISA, de Amerikaanse cybersecuritydienst, het op de KEV-lijst: de catalogus van kwetsbaarheden waarvan actief misbruik is vastgesteld. Voor Amerikaanse overheidsdiensten is de deadline 20 november. Belgische kmo's met een SonicWall SSL-VPN krijgen geen brief van Washington. Ze krijgen wel dezelfde aanvallers.

Wat er aan de hand is

In de SSL-VPN van SonicOS, de software op SonicWall-firewalls, zit een fout in hoe authenticatie wordt afgedwongen. Wie geldige inloggegevens heeft voor een alternatieve loginmethode, kan volgens SonicWall de SAML-controles omzeilen. Inclusief de MFA die via SAML werd afgedwongen. Het lek geldt alleen als SAML-login voor de VPN aanstaat. Zonder SAML is dit CVE-nummer niet je probleem. Met SAML én een tweede pad ernaast wel.

De score: CVSS 7.1 volgens SonicWall, 7.5 volgens CISA-ADP. Dat is "hoog", geen 9 of 10. Maar het is genoeg om de beveiliging die je dacht te hebben, te omzeilen. SonicWall onderzoekt een melding van mogelijk misbruik; concrete details over aanvallen zijn niet gedeeld. SecurityWeek en de CISA-alert bevestigen het beeld: gepatcht, op de KEV-lijst, geen openbare aanvalsdetails.

Getroffen: Gen7 TZ, NSa, NSsp en NSv met SonicOS 7.3.3-7015 of ouder, en Gen8 TZ, NSa en NSv met 8.2.2-8015 of ouder. De fix zit in 7.3.4-7013 en 8.2.3-8015. Er is geen workaround. Updaten is de enige weg.

Hetzelfde advies beschrijft zes andere fouten, waaronder twee van CVSS 8.8 in de beheerinterface en pre-authenticatie DoS-lekken in SSL-VPN en TACACS+. Die zijn niet als misbruikt gemeld. CVE-2026-19868 heeft voorrang.

Waarom dit in de directiekamer thuishoort

MFA voelt als een afgevinkt project. Het dashboard is groen, de auditor is tevreden, de verzekeraar vraagt ernaar. Maar MFA beschermt alleen het pad waarop ze actief is. Laat je naast SAML nog een lokale account, LDAP of een andere methode toe, dan is "MFA aan" een gevoel, geen feit.

Voor een kmo is de SonicWall vaak dé poort naar huiswerken, leveranciers en de MSP. Wie erdoor komt, zit in het netwerk. Onder NIS2 moeten bestuurders aantonen dat ze dit soort risico's beheersen. Een gekend, actief misbruikt lek in je VPN laten openstaan is moeilijk uit te leggen. Zoals we schreven bij het Barracuda-mailgatewaylek: patch management is geen IT-klusje. Het is aansprakelijkheid.

Door de ogen van de aanvaller

Bij XPOSE denken we zoals de tegenpartij. Wat volgt zijn scenario's, geen reconstructie van een aanval en zeker geen handleiding.

Ze zoeken het zwakste pad, niet het mooiste. Een aanvaller test niet of jouw SAML-flow correct is. Hij zoekt of er een pad bestaat waar MFA niet meespeelt. Staat er een lokale VPN-account naast, of een oude LDAP-binding die niemand meer gebruikt, dan is dat zijn voordeur. Jouw MFA-dashboard blijft intussen vrolijk op 100 procent staan.

Oude credentials zijn goud. Medewerkers die vertrokken, een gedeeld "vpn-test"-account, een wachtwoord uit een datalek van drie jaar geleden: voor dit type lek heb je geen zero-day-exploit nodig, je hebt een geldig wachtwoord op het verkeerde pad nodig. Die liggen vaker rond dan bedrijven willen toegeven.

De firewall is vertrouwd, dus niemand kijkt. Net zoals bij beveiligingstoestellen die we eerder bespraken, geniet de VPN-gateway vertrouwen. Logs worden zelden op "login buiten SAML" gefilterd. Een succesvolle login via een methode die volgens beleid niet mag bestaan, valt daardoor niet op.

Eén MSP, veel klanten. Veel Belgische kmo's laten hun SonicWall door een partner beheren. Dezelfde configuratiegewoonte, dezelfde openstaande alternatieve methode, bij tientallen klanten. Voor een aanvaller is dat geen serie inbraken. Dat is één speurtocht, herhaald.

De patch zet niemand buiten. Updaten sluit de deur. Het zegt niets over wie al binnen is. KEV betekent: iemand heeft dit al gebruikt. Controleer VPN-logs op logins die niet via SAML liepen, en op accounts die je niet herkent.

Wat je vandaag nog doet

1. Update SonicOS naar 7.3.4-7013 of hoger (Gen7) of 8.2.3-8015 of hoger (Gen8). Geen workaround, dus dit is stap één.
2. Zet alternatieve VPN-loginmethodes uit als SAML met MFA de bedoeling is. Eén pad. Geen uitzonderingen "voor noodgevallen" die al jaren openstaan.
3. Haal de beheerinterface van het internet. Alleen bereikbaar vanuit vertrouwde netwerken. Laat controleren wat er van jouw omgeving publiek zichtbaar is.
4. Doorzoek VPN-logs op logins buiten SAML, op accounts die niet meer mogen bestaan, en op succesvolle logins rond de datum van bekendmaking.
5. Vraag je MSP schriftelijk: welke SonicOS-versie draait, wanneer is gepatcht, welke loginmethodes staan aan, en wie heeft nog lokale VPN-accounts.
6. Herbekijk leverancierstoegang. Permanente VPN-accounts voor installateurs of softwarehuizen zonder MFA zijn exact het soort tweede pad waar dit lek om draait.

Tot slot

MFA is geen schild dat je ophangt en vergeet. Het is zo sterk als het zwakste inlogpad ernaast. CVE-2026-19868 maakt dat pijnlijk concreet voor wie SonicWall SSL-VPN met SAML gebruikt: de voordeur met slot, en een zijingang zonder. De patch is er. Gebruik hem.

XPOSE Security test je omgeving zoals echte APT-aanvallers het zouden doen: van de VPN-methode die "tijdelijk" openbleef tot de beheerinterface die toch online stond. Liever dat wij het vinden dan zij. Neem contact op en laat je cybersecurity in België structureel versterken met onze CISO-as-a-service.