SonicOS CVE-2026-19868はHigh―SSL-VPNのSAML・MFA回避、CISAが悪用確認リストへ追加
別の認証方式の有効な資格情報から、SAMLの認証制御を回避する問題。Gen 7・Gen 8の更新情報を確認します。
CVE公表・CISA KEV追加日（米国）：2026-11-06 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
2026年11月6日、SonicOSのSSL-VPNに関するCVE-2026-19868が公表され、CISAは同日、悪用が確認された脆弱性のリストKEVへ追加しました。CISA ADPのCVSS v3.1評価は7.5、High。SAMLでMFAを強制している環境でも認証制御を回避されるおそれがあります。
攻撃者は別の認証方式で使える有効な資格情報を必要とします。その資格情報からSSL-VPNのSAML認証を迂回し、SAML側で課す多要素認証も回避できる問題です。「パスワードを知らなくても誰でも侵入できる」という説明とは異なります。CVE登録ではGen 7とGen 8が対象とされています。
SonicWallの公式更新案内では、Gen 7は7.3.3-7015以前が影響し、修正版は7.3.4-7013以降。Gen 8は8.2.2-8015以前が影響し、8.2.3-8015の提供が11月6日に予定されています。利用機種に対応する修正版の提供状況と適用を確認してください。
今回の公式案内は11月3日の予告を6日に更新したものです。告知全体の最高評価8.8と、CVE-2026-19868単独に対するCISAの7.5を混同しないようにしてください。KEV追加は実悪用の根拠ですが、被害組織や攻撃規模は参照資料から確認できません。
出典と編集について
SonicWall / CISA：CVE-2026-19868：SonicWallの登録情報とCISA ADP ↗SonicWall：SonicOS 7.3.4・8.2.3公式更新案内 ↗
SonicWall PSIRT：SNWLID-2026-0014 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。