SonicWall-Firewall: Sicherheitslücke hebelt die Zwei-Faktor-Anmeldung aus
SonicWall hat am 6. November eine Sicherheitslücke im VPN-Zugang seiner Firewalls veröffentlicht. Sie kann ausgerechnet die Mehr-Faktor-Anmeldung umgehen — also genau die Schutzschicht, auf die sich viele verlassen. Die US-Behörde CISA stuft sie bereits als bekannte, ausgenutzte Schwachstelle ein. Wer ein betroffenes Gerät betreibt, sollte diese Woche handeln.
SonicWall-Firewalls sichern in vielen mittelständischen Betrieben den Zugang von außen ab: die VPN-Einwahl ins Firmennetz, den Fernzugriff fürs Homeoffice, die Anbindung von Außenstellen. Genau an dieser Stelle setzt die neue Lücke an. Am 6. November 2026 hat der Hersteller die Sicherheitsmitteilung SNWLID-2026-0014 veröffentlicht; die hier entscheidende Schwachstelle trägt die Kennung CVE-2026-19868.
Das Besondere daran: Die Lücke betrifft nicht irgendeine Nebenfunktion, sondern die Anmeldung selbst. Ein Angreifer, der gültige Zugangsdaten für einen anderen Anmeldeweg besitzt, kann damit die über SAML gesteuerte Prüfung umgehen — und dabei auch die per SAML erzwungene Mehr-Faktor-Anmeldung aushebeln. Kurz gesagt: Die zweite Sicherung, die eigentlich ein gestohlenes Passwort auffangen soll, greift in diesem Fall nicht mehr zuverlässig.
Was genau betroffen ist
Die Lücke wirkt nur unter einer klaren Bedingung: der SSL-VPN-Zugang muss über SAML angemeldet werden. Wer das nutzt, sollte die folgenden Stände prüfen:
- Gen7-Firewalls (Modelle der Reihen TZ, NSa, NSsp sowie die virtuellen NSv) mit SonicOS 7.3.3-7015 und älter sind betroffen. Behoben ab 7.3.4-7013.
- Gen8-Firewalls (TZ, NSa und virtuelle NSv) mit SonicOS 8.2.2-8015 und älter sind betroffen. Behoben ab 8.2.3-8015.
Einen Umweg oder eine Zwischenlösung gibt es laut Hersteller nicht — hilft nur die neue Firmware. SonicWall stuft die Lücke mit einem Schweregrad von 7,1 von 10 ein und schreibt, man habe einem Hinweis auf eine mögliche Ausnutzung bereits nachgehen müssen. Die US-Behörde CISA hat CVE-2026-19868 am 6. November in ihre Liste bekannter ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 20. November 2026 gesetzt. Diese Frist bindet deutsche Unternehmen nicht rechtlich, ist aber ein brauchbarer Maßstab dafür, wie ernst der Fall genommen wird.
Nicht nur diese eine Lücke: Dieselbe Firmware-Aktualisierung schließt insgesamt sieben Schwachstellen, darunter zwei hoch eingestufte (Schweregrad 8,8) in der Verwaltungsoberfläche der Firewall. Das Update lohnt sich also auch dann, wenn Sie SAML gar nicht einsetzen.
Warum das gerade den Mittelstand trifft
Der Zugang von außen ist die Haustür Ihres Netzes. Seit Homeoffice und mobiles Arbeiten selbstverständlich geworden sind, steht diese Tür bei fast jedem Betrieb offen — und eine Firewall mit VPN ist genau das Gerät, das sie bewachen soll. Wenn ausgerechnet dort die Mehr-Faktor-Anmeldung umgangen werden kann, fällt die wichtigste Schutzschicht für den Fernzugriff aus.
Das reiht sich in ein Muster, das wir in unseren letzten Sicherheitsbeiträgen immer wieder sehen: Angreifer suchen nicht die ausgefeilte Technik, sondern den bequemsten Weg hinein. Externe Zugänge wie VPN und Firewalls stehen dabei ganz oben — dieselbe Einfallsrichtung, vor der auch die jüngste Behördenwarnung zur Ransomware SafePay ausdrücklich warnt.
Was Sie jetzt tun sollten
In der richtigen Reihenfolge ist das überschaubar:
- 1. Gerät und Version feststellen. Betreiben Sie eine SonicWall-Firewall, und wenn ja, welches Modell und welche SonicOS-Version? Das steht in der Firewall-Verwaltung unter dem Systemstatus.
- 2. Prüfen, ob SSL-VPN mit SAML läuft. Nur dann ist CVE-2026-19868 für Sie akut. Unabhängig davon bleibt das Update wegen der sechs weiteren Schwachstellen sinnvoll.
- 3. Firmware aktualisieren. Auf mindestens 7.3.4-7013 (Gen7) beziehungsweise 8.2.3-8015 (Gen8), möglichst vor dem 20. November. Eine solche Aktualisierung gehört in ein kurzes Wartungsfenster, nicht in den laufenden Betrieb.
- 4. Zugänge nachsehen. Nach dem Update ein Blick auf die VPN-Konten: ungewöhnliche Anmeldungen, unbekannte Benutzer, auffällige Zeiten. Im Zweifel Passwörter der SSL-VPN-Konten zurücksetzen.
Der schnellste Selbsttest: Wissen Sie, welche Firewall bei Ihnen den Zugang von außen sichert — und auf welchem Firmware-Stand sie läuft? Wird der VPN-Zugang über SAML angemeldet? Wer beide Fragen aus dem Stand beantwortet, ist gut aufgestellt. Wer zögert, sollte genau hier anfangen.
Wobei wir unterstützen
Wir sind ein IT-Systemhaus aus Bad Vilbel bei Frankfurt und betreuen mittelständische Betriebe im Rhein-Main-Gebiet: in Frankfurt, Wiesbaden, Offenbach, Hanau, Bad Homburg, Friedberg, Maintal, der Wetterau und darüber hinaus. Bei einer Firewall-Lücke zählt, dass sie schnell und sauber geschlossen wird, ohne den Betrieb lahmzulegen.
- Bestandsaufnahme: Welche Firewall sichert Ihren Zugang von außen, auf welchem Stand ist sie, und ist SAML im Spiel?
- Firmware-Update im geplanten Wartungsfenster, mit vorheriger Sicherung der Konfiguration.
- Mehr-Faktor-Anmeldung für VPN, Fernwartung und Microsoft 365, sauber eingerichtet.
- Laufende Überwachung im Rahmen unserer Managed Services, damit solche Meldungen gar nicht erst untergehen.
- Notfallplanung für den Ernstfall — siehe unser IT-Notfallhandbuch mit Vorlage.
Unsicher, ob Sie betroffen sind? Das klärt sich meist in wenigen Minuten im Gespräch: 069 4015000-33 oder sales@centriccom.de. Wenn es eilt, sehen wir im Rhein-Main-Gebiet auch vor Ort nach.
Häufige Fragen
Betrifft uns diese Lücke überhaupt?
Nur wenn Sie eine SonicWall-Firewall einsetzen und dort der SSL-VPN-Zugang über SAML angemeldet wird. Trifft beides zu, sollten Sie zügig handeln. Nutzen Sie gar keine SonicWall oder kein SSL-VPN mit SAML, ist diese konkrete Lücke für Sie nicht relevant. Wenn Sie unsicher sind, welche Firewall bei Ihnen läuft, prüfen wir das kurz mit Ihnen.
Wir nutzen SonicWall, aber kein SAML. Sind wir sicher?
Vor dieser einen Lücke ja, denn sie greift nur bei SSL-VPN mit SAML. Die gleiche Aktualisierung schließt allerdings sechs weitere Schwachstellen in derselben Firmware, zwei davon hoch eingestuft in der Verwaltungsoberfläche. Das Update lohnt sich also unabhängig davon, ob Sie SAML einsetzen.
Schützt unsere Zwei-Faktor-Anmeldung nicht?
Genau hier liegt das Heikle: Die Lücke kann die über SAML erzwungene Mehr-Faktor-Anmeldung umgehen. Ein Angreifer mit gültigen Zugangsdaten für einen anderen Anmeldeweg kann die SAML-Prüfung aushebeln. Die Zwei-Faktor-Anmeldung bleibt richtig und wichtig, aber genau dieser Weg wird erst mit der neuen Firmware wieder verlässlich.
Bis wann sollten wir aktualisieren?
So schnell wie möglich. Die US-Behörde CISA hat die Lücke am 6. November in ihre Liste bekannter ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 20. November gesetzt. Diese Frist gilt zwar nicht rechtlich für deutsche Unternehmen, ist aber ein guter Maßstab, weil sie zeigt, wie dringlich die Behörden den Fall einschätzen. Einen Workaround gibt es nicht, nur die neue Firmware.
Woran erkennen wir, ob unsere Firmware betroffen ist?
An Modell und Version. Betroffen sind Gen7-Geräte bis einschließlich SonicOS 7.3.3-7015 und Gen8-Geräte bis einschließlich 8.2.2-8015. Die Fehler sind behoben ab 7.3.4-7013 (Gen7) beziehungsweise 8.2.3-8015 (Gen8). Die laufende Version steht in der Firewall-Verwaltung unter dem Systemstatus. Wenn Sie möchten, sehen wir gemeinsam nach.
Woher die Angaben stammen
Kennung, betroffene Geräte, Firmware-Stände und Schweregrad nach der Sicherheitsmitteilung SNWLID-2026-0014 von SonicWall (6. November 2026). Einstufung als bekannte ausgenutzte Schwachstelle samt Frist nach dem Known-Exploited-Vulnerabilities-Katalog der CISA. Ergänzende Einordnung nach der Berichterstattung von SecurityWeek.
Stand dieses Beitrags: 8. November 2026. Für den vollständigen Satz technischer Details und die genaue Liste der betroffenen Modelle ist die SonicWall-Mitteilung maßgeblich.
Markus J. Rehberg
Vorstand (CEO), für viele Kunden der erste persönliche Kontakt.