Lỗ hổng SonicWall SSLVPN CVE-2026-19868: vượt MFA và cập nhật

Ngày 6/11/2026, SonicWall đã công bố 7 lỗ hổng của SonicOS, hệ điều hành của các sản phẩm tường lửa. Cùng ngày, CISA (Hoa Kỳ) đã thêm CVE-2026-19868 vào danh sách "lỗ hổng đã xác nhận bị khai thác". Đây là vấn đề khiến xác thực đa yếu tố (MFA) qua SAML có nguy cơ bị vượt qua khi đăng nhập SSL-VPN.

Bài viết này dành cho các công ty đang dùng tường lửa SonicWall: thiết bị và phiên bản bị ảnh hưởng, các bước cập nhật, những việc có thể làm trong khi chưa cập nhật, và cách tìm dấu vết. Những công ty đang nghĩ "đã có MFA nên yên tâm" lại càng nên kiểm tra.

Lỗ hổng này là gì, nguy hiểm ra sao?

CVE-2026-19868 là vấn đề liên quan đến bước kiểm tra xác thực của SSL-VPN. Theo giải thích của SonicWall, người có ID và mật khẩu đúng dùng được cho một phương thức xác thực khác có nguy cơ vượt qua được bước kiểm tra xác thực SAML, và MFA được bắt buộc qua SAML cũng có khả năng bị vượt qua.

Nghĩa là, chẳng hạn nếu vẫn còn sót lại mật khẩu từng bị lộ trước đây, giả định "có MFA nên không vào được" sẽ không còn đúng. Tuy nhiên, cuộc tấn công cần có thông tin xác thực hợp lệ, nên đây không phải vấn đề ai cũng vào được. Ngoài ra, SSL-VPN không bật SAML không bị ảnh hưởng bởi lỗ hổng này.

Thiết bị bị ảnh hưởng và bản cần lên

※ Các model Gen6 trở về trước không có trong danh sách đối tượng của thông báo này. Về tình trạng hỗ trợ, hãy hỏi SonicWall hoặc đơn vị bán hàng.

5 bước kiểm tra và xử lý

1. Xem thiết bị và phiên bản

   Trên màn hình quản trị, hãy xem model và phiên bản SonicOS. Nếu không biết ai đang quản lý, hãy hỏi đơn vị bán hàng hoặc đơn vị bảo trì.

2. Kiểm tra cấu hình SAML của SSL-VPN

   Mức ảnh hưởng của CVE-2026-19868 thay đổi tùy việc có dùng SAML để đăng nhập SSL-VPN hay không.

3. Cập nhật lên bản vá

   Trước khi cập nhật, hãy sao lưu cấu hình. Thực hiện ngoài giờ làm việc, và sau khi cập nhật hãy kiểm tra xem có kết nối VPN được không.

4. Rà soát tài khoản

   Xóa tài khoản của người đã nghỉ việc và tài khoản không dùng. Với các tài khoản vào được bằng cách khác ngoài SAML, hãy xem có thật sự cần không và đổi mật khẩu.

5. Kiểm tra nhật ký đăng nhập

   Xem các mục kiểm tra bên dưới. Nếu có điểm khả nghi, hãy trao đổi với đơn vị chuyên môn.

Khi chưa cập nhật ngay được

Thông báo của SonicWall ghi biện pháp tạm thời là "không có". Những việc dưới đây là cách giảm rủi ro nói chung, không thay thế được việc cập nhật.

• Giới hạn hết mức nơi (địa chỉ IP) được phép kết nối SSL-VPN
• Không cho mở màn hình quản trị từ Internet
• Tắt SSL-VPN không dùng tới

Cách tìm dấu vết bị tấn công

Thông báo của SonicWall không nêu dấu hiệu mang tính quyết định nào, chẳng hạn địa chỉ IP nguồn tấn công. Vì vậy, các mục dưới đây chỉ là một cơ sở tham khảo.

• Người lẽ ra đăng nhập bằng SAML có đăng nhập SSL-VPN bằng phương thức xác thực khác không?
• Có lần đăng nhập nào từ quốc gia hoặc khung giờ khác với bình thường không?
• Có tài khoản lạ, hoặc thay đổi cấu hình mà công ty không biết không?
• Sau khi kết nối VPN, có các kết nối đáng ngờ lan sang máy chủ nội bộ không?

Có ghi nhận trong log không có nghĩa là chắc chắn đã bị xâm nhập. Cách kiểm tra thiết bị VPN cũng được giải thích trong bài "Xử lý lỗ hổng Ivanti".

Thiết bị VPN là cửa chính của công ty

Thiết bị VPN nằm ở lối vào mạng nội bộ, nên là mục tiêu hấp dẫn đối với kẻ tấn công. Thiệt hại tại Nhật Bản từ tháng 10/2026 được tổng hợp trong bài "Tổng hợp các vụ tấn công mạng tại Nhật Bản". Nếu không có người phụ trách, hoặc không rõ phạm vi bảo trì, hãy xem thêm bài "Tiếp nhận bảo trì hệ thống cũ không có tài liệu".

Để nguyên hay xử lý ngay?

Digi Dinos có thể giúp gì?

Digi Dinos là công ty hỗ trợ DX, bảo mật, vận hành và bảo trì hệ thống. Chúng tôi đã đạt chứng nhận ISO 27001, đảm nhận cả vận hành máy chủ và đám mây, giám sát 24 giờ 365 ngày (NOC). Đội ngũ làm việc được bằng tiếng Nhật sẽ hướng dẫn cho bạn.

• Rà soát tài sản: làm rõ thiết bị nào đang chạy phiên bản nào, và ai đang quản lý.
• Hỗ trợ lập kế hoạch và thực hiện cập nhật: kể cả hệ thống không thể dừng, chúng tôi vẫn xác định quy trình và thời gian để tiến hành.
• Tiếp nhận giám sát và vận hành: có thể tiếp nhận cả việc vận hành hệ thống vốn do công ty khác quản lý.

Câu hỏi thường gặp